CVE-2024-28182
ŚrednieStreszczenie
Biblioteka nghttp2 przed wersją 1.61.0 kontynuuje odczytywanie nieograniczonej liczby ramek HTTP/2 CONTINUATION nawet po zresetowaniu strumienia, aby utrzymać kontekst HPACK w synchronizacji. Powoduje to nadmierne zużycie CPU podczas dekodowania stanu HPACK.
Ocena ryzyka
Zdalny atakujący może wysłać serię ramek CONTINUATION, powodując nadmierne obciążenie CPU serwera, co może prowadzić do odmowy usługi (DoS).
Rekomendacja
Zaleca się aktualizację nghttp2 do wersji 1.61.0 lub nowszej, która ogranicza liczbę odczytywanych ramek CONTINUATION po resecie strumienia.
Inne podatności w nghttp2
Zobacz wszystkie- CVE-2015-8659Krytyczne
Obsługa bezczynnych strumieni w nghttp2 przed wersją 1.6.0 zawiera błąd typu heap-use-after-free, który może być wykorzystany przez atakujących w nieokreślony sposób.
- CVE-2026-58055Średnie
Podatność w nghttp2 nghttpx do wersji 1.69.0 powoduje, że żądanie HTTP/1.1 Upgrade zawierające nagłówek Content-Length i ciało jest przekazywane na ponownie używane połączenia backendowe. Backend interpretujący tę niejednoznaczną wiadomość na korzyść atakującego umożliwia przemycanie żądań/odpowiedzi HTTP oraz zatruwanie kolejki odpowiedzi między klientami.
- CVE-2026-24029Średnie
Gdy opcja early_acl_drop (earlyACLDrop w Lua) jest wyłączona (domyślnie włączona) na froncie DNS over HTTPS korzystającym z dostawcy nghttp2, kontrola ACL jest pomijana, co pozwala wszystkim klientom na wysyłanie zapytań DoH niezależnie od skonfigurowanej listy ACL.
- CVE-2026-27135Wysokie
W bibliotece nghttp2 przed wersją 1.68.1 wykryto podatność polegającą na braku walidacji stanu wewnętrznego po wywołaniu funkcji `nghttp2_session_terminate_session` lub `nghttp2_session_terminate_session2`. Powoduje to kontynuowanie odczytu danych po zakończeniu sesji, a odebranie nieprawidłowej ramki może wywołać błąd asercji i przerwanie działania.
Oryginalny opis (angielski, źródło NVD)
nghttp2 is an implementation of the Hypertext Transfer Protocol version 2 in C. The nghttp2 library prior to version 1.61.0 keeps reading the unbounded number of HTTP/2 CONTINUATION frames even after a stream is reset to keep HPACK context in sync. This causes excessive CPU usage to decode HPACK st
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS