Vulnerabilidad en protocol-http1 (CVE-2023-38697)

protocol-http1 proporciona una implementación de bajo nivel del protocolo HTTP/1. La sección 7.1 del RFC 9112 define el formato del tamaño del fragmento, los datos del fragmento y la extensión del fragmento. El valor de la cabecera Content-Length debe ser una cadena de 0-9 dígitos, el tamaño del fragmento debe ser una cadena de dígitos hexadecimales y debe separarse de los datos del fragmento mediante CRLF, y la extensión del fragmento no debe contener ningún carácter invisible. Sin embargo, Falcon tiene los siguientes comportamientos mientras desobedece las RFCs correspondientes: aceptar valores de cabecera Content-Length que tengan prefijo `+`, aceptar valores de cabecera Content-Length que estén escritos en hexadecimal con prefijo `0x`, aceptar tamaño de fragmento con prefijo `0x` y `+`, y aceptar LF en la extensión de fragmento. Este comportamiento puede conducir a la desincronización cuando se reenvía a través de múltiples analizadores HTTP, lo que puede dar lugar al contrabando de peticiones HTTP y a la evasión del cortafuegos. Este problema se ha solucionado en `protocol-http1` v0.15.1. No se conocen alternativas.