CVE-2017-10868

H2O w wersji 2.2.3 i wcześniejszych pozwala zdalnym atakującym na spowodowanie odmowy usługi na serwerze poprzez specjalnie skonstruowane nagłówki HTTP/2.

Przepełnienie bufora w H2O w wersji 2.2.2 i wcześniejszych umożliwia zdalnym atakującym spowodowanie awarii serwera poprzez nieokreślone wektory.

Wersje H2O 2.0.3 i wcześniejsze oraz 2.1.0-beta2 i wcześniejsze umożliwiają zdalnym atakującym spowodowanie odmowy usługi (DoS) poprzez wykorzystanie specyfikatorów formatu w pliku szablonu za pomocą fastcgi, mruby, proxy, redirect lub reproxy.

W bibliotece H2O przed wersją 1.7.3 oraz 2.x przed wersją 2.0.0-beta5 występuje błąd w obsłudze rozłączenia HTTP/2, co może prowadzić do odmowy usługi (use-after-free i awaria aplikacji) lub potencjalnego wykonania dowolnego kodu przez złośliwie skonstruowany pakiet.

Podatność typu use-after-free w H2O umożliwia zdalnym atakującym spowodowanie odmowy usługi (DoS) lub uzyskanie prywatnych kluczy certyfikatów serwera oraz potencjalnie innych informacji.

W serwerze HTTP h2o przed commit 9265bdd występuje podatność na amplifikację stanu HTTP/2, łącząca amplifikację dekompresji HPACK z techniką Slowloris polegającą na wstrzymywaniu strumieni. Zdekompresowany stan nagłówków może być przechowywany przez zablokowane strumienie HTTP/2, co przy odpowiedniej konfiguracji wymaga dodatkowych limitów, aby ograniczyć ten stan i zapobiec atakowi.

Serwer HTTP h2o przed commit 6b5370d jest podatny na atak DoS polegający na alokacji zbyt dużej pamięci na stosie za pomocą alloca. Przy serwowaniu plików statycznych rozmiar alokacji może sięgać ~600KB, co przekracza domyślny rozmiar stosu wątków w musl libc (128KB), powodując segfault i crash serwera.

Podatność w serwerze HTTP h2o przed commit 8dc37cb powoduje, że odebranie wiadomości ClientHello przez TLS lub QUIC z rozszerzeniem SNI o zerowej długości prowadzi do odczytu poza zakresem podczas kopiowania nazwy hosta. Może to wywołać naruszenie segmentacji i potencjalnie umożliwić atak typu odmowa usługi (DoS).

Podatność w serwerze HTTP h2o przed commit edd7a120bfc4af11ac0cbebce2a43cc1f93f9af1 powoduje awarię podczas przetwarzania instrukcji QPACK przez HTTP/3. Funkcja w pliku lib/http3/qpack.c alokuje bufor na stosie o rozmiarze około 800 KB za pomocą alloca, co przekracza domyślny rozmiar stosu wątków w musl libc i prowadzi do błędu segmentacji.