CVE-2026-10725

WysokieCVSS 7.5

Opublikowano: 06/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 24/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.41%

Percentyl 34 - wyżej niż 34% wszystkich znanych CVE

Streszczenie

Podatność w bibliotece Protocol::HTTP2 dla Perla przed wersją 1.13 umożliwia atak typu HTTP/2 Bomb. Brak ograniczenia rozmiaru listy nagłówków w ścieżce dekodowania HPACK powoduje, że małe żądanie HTTP/2 może rozrosnąć się w pamięci serwera. Metoda headers_decode nie sprawdza bieżącego rozmiaru, a stream_header_block_add dołącza ramki CONTINUATION bez ograniczeń.

Ocena ryzyka

Atakujący może spowodować znaczne zużycie pamięci serwera, prowadząc do odmowy usługi (DoS) poprzez wysłanie małego, spreparowanego żądania HTTP/2.

Rekomendacja

Zaktualizuj bibliotekę Protocol::HTTP2 do wersji 1.13 lub nowszej, która zawiera poprawkę ograniczającą rozmiar listy nagłówków.

Inne podatności w Protocol::HTTP2

CVE-2026-16028Wysokie
Podatność w module Protocol::HTTP2 dla języka Perl przed wersją 1.14 pozwala na wyczerpanie pamięci przez zamknięte strumienie, które nie są usuwane z tabeli strumieni połączenia. Każde zamknięcie strumienia pozostawia wpis w pamięci, a identyfikatory strumieni rosną monotonicznie, co pozwala atakującemu na otwieranie i zamykanie strumieni w nieskończoność, prowadząc do wzrostu zużycia pamięci.

Oryginalny opis (angielski, źródło NVD)

Protocol::HTTP2 versions before 1.13 for Perl is vulnerable to a HTTP/2 Bomb. Protocol::HTTP2's inbound HPACK path has no header-list size limit, so a small HTTP/2 request can expand into large server memory (the "HTTP/2 bomb"). The headers_decode method materialises a full key+value copy per indexed reference with no running size check, and the stream_header_block_add method appends (since version 1.12) every CONTINUATION frame to the per-stream buffer unbounded. MAX_HEADER_LIST_SIZE (default 65536) is advertised in SETTINGS but never consulted on decode. It is absent from the decoder and from the :limits export tag.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS