CVE-2016-4864
WysokieStreszczenie
Wersje H2O 2.0.3 i wcześniejsze oraz 2.1.0-beta2 i wcześniejsze umożliwiają zdalnym atakującym spowodowanie odmowy usługi (DoS) poprzez wykorzystanie specyfikatorów formatu w pliku szablonu za pomocą fastcgi, mruby, proxy, redirect lub reproxy.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zakłócenia działania serwera, co może prowadzić do przestojów w usługach i utraty dostępności dla użytkowników.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji H2O, aby usunąć tę podatność oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.
Inne podatności w H2O
Zobacz wszystkie- CVE-2017-10908Wysokie
H2O w wersji 2.2.3 i wcześniejszych pozwala zdalnym atakującym na spowodowanie odmowy usługi na serwerze poprzez specjalnie skonstruowane nagłówki HTTP/2.
- CVE-2017-10869Wysokie
Przepełnienie bufora w H2O w wersji 2.2.2 i wcześniejszych umożliwia zdalnym atakującym spowodowanie awarii serwera poprzez nieokreślone wektory.
- CVE-2017-10868Wysokie
H2O w wersji 2.2.2 i wcześniejszych pozwala zdalnym atakującym na spowodowanie odmowy usługi na serwerze poprzez specjalnie skonstruowany nagłówek HTTP/1.
- CVE-2016-4817Wysokie
W bibliotece H2O przed wersją 1.7.3 oraz 2.x przed wersją 2.0.0-beta5 występuje błąd w obsłudze rozłączenia HTTP/2, co może prowadzić do odmowy usługi (use-after-free i awaria aplikacji) lub potencjalnego wykonania dowolnego kodu przez złośliwie skonstruowany pakiet.
- CVE-2016-7835Krytyczne
Podatność typu use-after-free w H2O umożliwia zdalnym atakującym spowodowanie odmowy usługi (DoS) lub uzyskanie prywatnych kluczy certyfikatów serwera oraz potencjalnie innych informacji.
- CVE-2026-54340Wysokie
W serwerze HTTP h2o przed commit 9265bdd występuje podatność na amplifikację stanu HTTP/2, łącząca amplifikację dekompresji HPACK z techniką Slowloris polegającą na wstrzymywaniu strumieni. Zdekompresowany stan nagłówków może być przechowywany przez zablokowane strumienie HTTP/2, co przy odpowiedniej konfiguracji wymaga dodatkowych limitów, aby ograniczyć ten stan i zapobiec atakowi.
- CVE-2026-44453Wysokie
Serwer HTTP h2o przed commit 6b5370d jest podatny na atak DoS polegający na alokacji zbyt dużej pamięci na stosie za pomocą alloca. Przy serwowaniu plików statycznych rozmiar alokacji może sięgać ~600KB, co przekracza domyślny rozmiar stosu wątków w musl libc (128KB), powodując segfault i crash serwera.
- CVE-2026-44452Średnie
Podatność w serwerze HTTP h2o przed commit 8dc37cb powoduje, że odebranie wiadomości ClientHello przez TLS lub QUIC z rozszerzeniem SNI o zerowej długości prowadzi do odczytu poza zakresem podczas kopiowania nazwy hosta. Może to wywołać naruszenie segmentacji i potencjalnie umożliwić atak typu odmowa usługi (DoS).
- CVE-2026-55213Wysokie
Podatność w serwerze HTTP h2o przed commit edd7a120bfc4af11ac0cbebce2a43cc1f93f9af1 powoduje awarię podczas przetwarzania instrukcji QPACK przez HTTP/3. Funkcja w pliku lib/http3/qpack.c alokuje bufor na stosie o rozmiarze około 800 KB za pomocą alloca, co przekracza domyślny rozmiar stosu wątków w musl libc i prowadzi do błędu segmentacji.
Oryginalny opis (angielski, źródło NVD)
H2O versions 2.0.3 and earlier and 2.1.0-beta2 and earlier allows remote attackers to cause a denial-of-service (DoS) via format string specifiers in a template file via fastcgi, mruby, proxy, redirect or reproxy.