CVE-2026-44452
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność w serwerze HTTP h2o przed commit 8dc37cb powoduje, że odebranie wiadomości ClientHello przez TLS lub QUIC z rozszerzeniem SNI o zerowej długości prowadzi do odczytu poza zakresem podczas kopiowania nazwy hosta. Może to wywołać naruszenie segmentacji i potencjalnie umożliwić atak typu odmowa usługi (DoS).
Ocena ryzyka
Atakujący może wysłać spreparowane żądanie TLS/QUIC z pustym SNI, powodując awarię serwera i przerwanie działania usługi. Ryzyko dotyczy wszystkich instancji h2o narażonych na ruch sieciowy.
Rekomendacja
Należy natychmiast zaktualizować serwer h2o do wersji zawierającej commit 8dc37cb lub nowszej. Jeśli aktualizacja nie jest możliwa, rozważ tymczasowe wyłączenie obsługi SNI lub zastosowanie reguł WAF blokujących puste rozszerzenia SNI.
Inne podatności w h2o
Zobacz wszystkie- CVE-2017-10908Wysokie
H2O w wersji 2.2.3 i wcześniejszych pozwala zdalnym atakującym na spowodowanie odmowy usługi na serwerze poprzez specjalnie skonstruowane nagłówki HTTP/2.
- CVE-2017-10869Wysokie
Przepełnienie bufora w H2O w wersji 2.2.2 i wcześniejszych umożliwia zdalnym atakującym spowodowanie awarii serwera poprzez nieokreślone wektory.
- CVE-2017-10868Wysokie
H2O w wersji 2.2.2 i wcześniejszych pozwala zdalnym atakującym na spowodowanie odmowy usługi na serwerze poprzez specjalnie skonstruowany nagłówek HTTP/1.
- CVE-2016-4864Wysokie
Wersje H2O 2.0.3 i wcześniejsze oraz 2.1.0-beta2 i wcześniejsze umożliwiają zdalnym atakującym spowodowanie odmowy usługi (DoS) poprzez wykorzystanie specyfikatorów formatu w pliku szablonu za pomocą fastcgi, mruby, proxy, redirect lub reproxy.
- CVE-2016-4817Wysokie
W bibliotece H2O przed wersją 1.7.3 oraz 2.x przed wersją 2.0.0-beta5 występuje błąd w obsłudze rozłączenia HTTP/2, co może prowadzić do odmowy usługi (use-after-free i awaria aplikacji) lub potencjalnego wykonania dowolnego kodu przez złośliwie skonstruowany pakiet.
- CVE-2016-7835Krytyczne
Podatność typu use-after-free w H2O umożliwia zdalnym atakującym spowodowanie odmowy usługi (DoS) lub uzyskanie prywatnych kluczy certyfikatów serwera oraz potencjalnie innych informacji.
- CVE-2026-54340Wysokie
W serwerze HTTP h2o przed commit 9265bdd występuje podatność na amplifikację stanu HTTP/2, łącząca amplifikację dekompresji HPACK z techniką Slowloris polegającą na wstrzymywaniu strumieni. Zdekompresowany stan nagłówków może być przechowywany przez zablokowane strumienie HTTP/2, co przy odpowiedniej konfiguracji wymaga dodatkowych limitów, aby ograniczyć ten stan i zapobiec atakowi.
- CVE-2026-44453Wysokie
Serwer HTTP h2o przed commit 6b5370d jest podatny na atak DoS polegający na alokacji zbyt dużej pamięci na stosie za pomocą alloca. Przy serwowaniu plików statycznych rozmiar alokacji może sięgać ~600KB, co przekracza domyślny rozmiar stosu wątków w musl libc (128KB), powodując segfault i crash serwera.
- CVE-2026-55213Wysokie
Podatność w serwerze HTTP h2o przed commit edd7a120bfc4af11ac0cbebce2a43cc1f93f9af1 powoduje awarię podczas przetwarzania instrukcji QPACK przez HTTP/3. Funkcja w pliku lib/http3/qpack.c alokuje bufor na stosie o rozmiarze około 800 KB za pomocą alloca, co przekracza domyślny rozmiar stosu wątków w musl libc i prowadzi do błędu segmentacji.
Oryginalny opis (angielski, źródło NVD)
h2o is an HTTP server with support for HTTP/1.x, HTTP/2 and HTTP/3. Prior to commit 8dc37cb, when h2o receives a ClientHello message over TLS or QUIC and it contains a zero-length SNI extension, the h2o server runs over the zero-length hostname while trying to copy the hostname, assuming that it is NULL-terminated. This is a potential denial-of-service attack vector in sense that it might trigger segmentation violation. This issue has been fixed by commit 8dc37cb.