CVE-2024-28182
ŚrednieStreszczenie
Biblioteka nghttp2 przed wersją 1.61.0 kontynuuje odczytywanie nieograniczonej liczby ramek HTTP/2 CONTINUATION nawet po zresetowaniu strumienia, aby utrzymać kontekst HPACK w synchronizacji. Powoduje to nadmierne zużycie CPU podczas dekodowania stanu HPACK.
Ocena ryzyka
Zdalny atakujący może wysłać serię ramek CONTINUATION, powodując nadmierne obciążenie CPU serwera, co może prowadzić do odmowy usługi (DoS).
Rekomendacja
Zaleca się aktualizację nghttp2 do wersji 1.61.0 lub nowszej, która ogranicza liczbę odczytywanych ramek CONTINUATION po resecie strumienia.
Oryginalny opis (angielski, źródło NVD)
nghttp2 is an implementation of the Hypertext Transfer Protocol version 2 in C. The nghttp2 library prior to version 1.61.0 keeps reading the unbounded number of HTTP/2 CONTINUATION frames even after a stream is reset to keep HPACK context in sync. This causes excessive CPU usage to decode HPACK st