We found a bug in the hyper HTTP library
Cloudflare discovered a critical bug in the hyper HTTP library, a widely used Rust-based HTTP implementation. The vulnerability could potentially allow request smuggling or other HTTP-level attacks. Cloudflare responsibly disclosed the issue and worked with the maintainers to develop a fix, reinforcing the importance of robust HTTP parsing in edge services.
背景メモ
Cloudflareが同社の製品で使用しているRust製HTTPライブラリ「hyper」に深刻なメモリ安全性のバグを発見し、修正したという報告。hyperはRustの非同期HTTP実装として広く使われており、CloudflareやAWS、Flying Fishなど多くの企業の基盤ソフトウェアに組み込まれている。今回のバグは特定のリクエスト処理時にメモリの二重解放を引き起こすもので、攻撃者が悪用すればサービスをクラッシュさせたり、リモートコード実行につながる可能性があった。Cloudflareのエンジニアが原因を特定し、修正パッチを公開。Rustはメモリ安全と謳われる言語だが、unsafeコードを介してこうした古典的なメモリバグが依然として発生しうることを示す事例でもある。