CVE-2015-8659
KrytyczneStreszczenie
Obsługa bezczynnych strumieni w nghttp2 przed wersją 1.6.0 zawiera błąd typu heap-use-after-free, który może być wykorzystany przez atakujących w nieokreślony sposób.
Ocena ryzyka
Podatność ta może prowadzić do nieprzewidzianych skutków, co stwarza zagrożenie dla integralności i dostępności systemu.
Rekomendacja
Zaleca się aktualizację nghttp2 do wersji 1.6.0 lub nowszej, aby usunąć tę podatność.
Inne podatności w nghttp2
Zobacz wszystkie- CVE-2024-28182Średnie
Biblioteka nghttp2 przed wersją 1.61.0 kontynuuje odczytywanie nieograniczonej liczby ramek HTTP/2 CONTINUATION nawet po zresetowaniu strumienia, aby utrzymać synchronizację kontekstu HPACK. Powoduje to nadmierne zużycie CPU podczas dekodowania strumienia HPACK. Wersja 1.61.0 ogranicza liczbę akceptowanych ramek CONTINUATION na strumień, ale nie ma obejścia dla tej podatności.
- CVE-2026-58055Średnie
Podatność w nghttp2 nghttpx do wersji 1.69.0 powoduje, że żądanie HTTP/1.1 Upgrade zawierające nagłówek Content-Length i ciało jest przekazywane na ponownie używane połączenia backendowe. Backend interpretujący tę niejednoznaczną wiadomość na korzyść atakującego umożliwia przemycanie żądań/odpowiedzi HTTP oraz zatruwanie kolejki odpowiedzi między klientami.
- CVE-2026-24029Średnie
Gdy opcja early_acl_drop (earlyACLDrop w Lua) jest wyłączona (domyślnie włączona) na froncie DNS over HTTPS korzystającym z dostawcy nghttp2, kontrola ACL jest pomijana, co pozwala wszystkim klientom na wysyłanie zapytań DoH niezależnie od skonfigurowanej listy ACL.
- CVE-2026-27135Wysokie
W bibliotece nghttp2 przed wersją 1.68.1 wykryto podatność polegającą na braku walidacji stanu wewnętrznego po wywołaniu funkcji `nghttp2_session_terminate_session` lub `nghttp2_session_terminate_session2`. Powoduje to kontynuowanie odczytu danych po zakończeniu sesji, a odebranie nieprawidłowej ramki może wywołać błąd asercji i przerwanie działania.
Oryginalny opis (angielski, źródło NVD)
The idle stream handling in nghttp2 before 1.6.0 allows attackers to have unspecified impact via unknown vectors, aka a heap-use-after-free bug.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS