CVE-2026-56853
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Gdy serwer jest skonfigurowany do obsługi niezaszyfrowanego HTTP/2, odczytuje kilka bajtów z każdego nowego połączenia, aby sprawdzić, czy zawierają one prefiks klienta HTTP/2. W tym przypadku ReadHeaderTimeout nie jest stosowany, co może prowadzić do problemów z limitami czasu.
Ocena ryzyka
Brak zastosowania limitu czasu może pozwolić atakującemu na utrzymywanie otwartych połączeń, co może prowadzić do wyczerpania zasobów serwera.
Rekomendacja
Zaleca się zaktualizowanie oprogramowania do wersji, w której poprawiono to zachowanie, oraz skonfigurowanie odpowiednich limitów czasu dla połączeń HTTP/2.
Oryginalny opis (angielski, źródło NVD)
When a server is configured to support unencrypted HTTP/2, it reads a few bytes from each new connection to see if they contain the HTTP/2 client preface. ReadHeaderTimeout is unexpectedly not being applied when doing this.