CVE-2024-2398
ŚrednieStreszczenie
Podatność w bibliotece libcurl powoduje wyciek pamięci podczas obsługi push HTTP/2. Gdy aplikacja zezwala na push serwera, a liczba nagłówków przekracza limit 1000, libcurl przerywa push, ale nie zwalnia poprzednio zaalokowanych nagłówków.
Ocena ryzyka
Wyciek pamięci może prowadzić do stopniowego wyczerpania zasobów systemowych, co w dłuższej perspektywie może spowodować odmowę usługi (DoS) dla aplikacji korzystających z libcurl.
Rekomendacja
Zaleca się aktualizację biblioteki libcurl do wersji, w której naprawiono tę podatność. Należy również rozważyć tymczasowe wyłączenie obsługi push HTTP/2, jeśli nie jest wymagana.
Oryginalny opis (angielski, źródło NVD)
When an application tells libcurl it wants to allow HTTP/2 server push, and the amount of received headers for the push surpasses the maximum allowed limit (1000), libcurl aborts the server push. When aborting, libcurl inadvertently does not free all the previously allocated headers and instead leak