CVE-2024-28182
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Biblioteka nghttp2 przed wersją 1.61.0 kontynuuje odczytywanie nieograniczonej liczby ramek HTTP/2 CONTINUATION nawet po zresetowaniu strumienia, aby utrzymać synchronizację kontekstu HPACK. Powoduje to nadmierne zużycie CPU podczas dekodowania strumienia HPACK. Wersja 1.61.0 ogranicza liczbę akceptowanych ramek CONTINUATION na strumień, ale nie ma obejścia dla tej podatności.
Ocena ryzyka
Atakujący może zdalnie wywołać nadmierne zużycie CPU, prowadząc do odmowy usługi (DoS) na serwerach korzystających z nghttp2.
Rekomendacja
Zaktualizuj bibliotekę nghttp2 do wersji 1.61.0 lub nowszej. Nie istnieją inne środki zaradcze.
Inne podatności w nghttp2
Zobacz wszystkie- CVE-2015-8659Krytyczne
Obsługa bezczynnych strumieni w nghttp2 przed wersją 1.6.0 zawiera błąd typu heap-use-after-free, który może być wykorzystany przez atakujących w nieokreślony sposób.
- CVE-2026-58055Średnie
Podatność w nghttp2 nghttpx do wersji 1.69.0 powoduje, że żądanie HTTP/1.1 Upgrade zawierające nagłówek Content-Length i ciało jest przekazywane na ponownie używane połączenia backendowe. Backend interpretujący tę niejednoznaczną wiadomość na korzyść atakującego umożliwia przemycanie żądań/odpowiedzi HTTP oraz zatruwanie kolejki odpowiedzi między klientami.
- CVE-2026-24029Średnie
Gdy opcja early_acl_drop (earlyACLDrop w Lua) jest wyłączona (domyślnie włączona) na froncie DNS over HTTPS korzystającym z dostawcy nghttp2, kontrola ACL jest pomijana, co pozwala wszystkim klientom na wysyłanie zapytań DoH niezależnie od skonfigurowanej listy ACL.
- CVE-2026-27135Wysokie
W bibliotece nghttp2 przed wersją 1.68.1 wykryto podatność polegającą na braku walidacji stanu wewnętrznego po wywołaniu funkcji `nghttp2_session_terminate_session` lub `nghttp2_session_terminate_session2`. Powoduje to kontynuowanie odczytu danych po zakończeniu sesji, a odebranie nieprawidłowej ramki może wywołać błąd asercji i przerwanie działania.
Oryginalny opis (angielski, źródło NVD)
nghttp2 is an implementation of the Hypertext Transfer Protocol version 2 in C. The nghttp2 library prior to version 1.61.0 keeps reading the unbounded number of HTTP/2 CONTINUATION frames even after a stream is reset to keep HPACK context in sync. This causes excessive CPU usage to decode HPACK stream. nghttp2 v1.61.0 mitigates this vulnerability by limiting the number of CONTINUATION frames it accepts per stream. There is no workaround for this vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS