CVE-2026-54340
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W serwerze HTTP h2o przed commit 9265bdd występuje podatność na amplifikację stanu HTTP/2, łącząca amplifikację dekompresji HPACK z techniką Slowloris polegającą na wstrzymywaniu strumieni. Zdekompresowany stan nagłówków może być przechowywany przez zablokowane strumienie HTTP/2, co przy odpowiedniej konfiguracji wymaga dodatkowych limitów, aby ograniczyć ten stan i zapobiec atakowi.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przeciążenia serwera poprzez utrzymywanie dużych ilości zdekompresowanych nagłówków w pamięci, co prowadzi do wyczerpania zasobów i potencjalnej odmowy usługi (DoS).
Rekomendacja
Należy niezwłocznie zaktualizować serwer h2o do wersji zawierającej commit 9265bdd lub nowszej. Dodatkowo, w zależności od konfiguracji, warto rozważyć wprowadzenie limitów na stan zdekompresowanych nagłówków.
Inne podatności w h2o
Zobacz wszystkie- CVE-2017-10908Wysokie
H2O w wersji 2.2.3 i wcześniejszych pozwala zdalnym atakującym na spowodowanie odmowy usługi na serwerze poprzez specjalnie skonstruowane nagłówki HTTP/2.
- CVE-2017-10869Wysokie
Przepełnienie bufora w H2O w wersji 2.2.2 i wcześniejszych umożliwia zdalnym atakującym spowodowanie awarii serwera poprzez nieokreślone wektory.
- CVE-2017-10868Wysokie
H2O w wersji 2.2.2 i wcześniejszych pozwala zdalnym atakującym na spowodowanie odmowy usługi na serwerze poprzez specjalnie skonstruowany nagłówek HTTP/1.
- CVE-2016-4864Wysokie
Wersje H2O 2.0.3 i wcześniejsze oraz 2.1.0-beta2 i wcześniejsze umożliwiają zdalnym atakującym spowodowanie odmowy usługi (DoS) poprzez wykorzystanie specyfikatorów formatu w pliku szablonu za pomocą fastcgi, mruby, proxy, redirect lub reproxy.
- CVE-2016-4817Wysokie
W bibliotece H2O przed wersją 1.7.3 oraz 2.x przed wersją 2.0.0-beta5 występuje błąd w obsłudze rozłączenia HTTP/2, co może prowadzić do odmowy usługi (use-after-free i awaria aplikacji) lub potencjalnego wykonania dowolnego kodu przez złośliwie skonstruowany pakiet.
- CVE-2016-7835Krytyczne
Podatność typu use-after-free w H2O umożliwia zdalnym atakującym spowodowanie odmowy usługi (DoS) lub uzyskanie prywatnych kluczy certyfikatów serwera oraz potencjalnie innych informacji.
- CVE-2026-44453Wysokie
Serwer HTTP h2o przed commit 6b5370d jest podatny na atak DoS polegający na alokacji zbyt dużej pamięci na stosie za pomocą alloca. Przy serwowaniu plików statycznych rozmiar alokacji może sięgać ~600KB, co przekracza domyślny rozmiar stosu wątków w musl libc (128KB), powodując segfault i crash serwera.
- CVE-2026-44452Średnie
Podatność w serwerze HTTP h2o przed commit 8dc37cb powoduje, że odebranie wiadomości ClientHello przez TLS lub QUIC z rozszerzeniem SNI o zerowej długości prowadzi do odczytu poza zakresem podczas kopiowania nazwy hosta. Może to wywołać naruszenie segmentacji i potencjalnie umożliwić atak typu odmowa usługi (DoS).
- CVE-2026-55213Wysokie
Podatność w serwerze HTTP h2o przed commit edd7a120bfc4af11ac0cbebce2a43cc1f93f9af1 powoduje awarię podczas przetwarzania instrukcji QPACK przez HTTP/3. Funkcja w pliku lib/http3/qpack.c alokuje bufor na stosie o rozmiarze około 800 KB za pomocą alloca, co przekracza domyślny rozmiar stosu wątków w musl libc i prowadzi do błędu segmentacji.
Oryginalny opis (angielski, źródło NVD)
h2o is an HTTP server with support for HTTP/1.x, HTTP/2 and HTTP/3. Prior to commit 9265bdd, there is an HTTP/2 state amplification issue that combines HPACK decompression amplification with Slowloris-style stream stalling. Amplified decoded header state can be retained by stalled HTTP/2 streams, and depending on the configuration, additional limits are needed to bound decoded header state and prevent attack. This issue has been fixed by commit 9265bdd.