CVE-2026-49788
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
Brak ograniczeń alokacji zasobów w HTTP/2 umożliwia nieautoryzowanemu atakującemu odmowę usługi przez sieć.
Ocena ryzyka
Atak może przeciążyć serwer HTTP/2, prowadząc do niedostępności usług internetowych organizacji.
Rekomendacja
Zaktualizuj implementację HTTP/2 do wersji z ograniczeniami alokacji zasobów.
Inne podatności w HTTP/2
Zobacz wszystkie- CVE-2023-45288Wysokie
Atakujący może spowodować, że punkt końcowy HTTP/2 odczyta dowolną ilość danych nagłówka, wysyłając nadmierną liczbę ramek CONTINUATION. Utrzymanie stanu HPACK wymaga parsowania i przetwarzania wszystkich ramek HEADERS i CONTINUATION na połączeniu; gdy nagłówki żądania przekraczają MaxHeaderBytes, pamięć nie jest alokowana na nadmiarowe nagłówki, ale są one nadal parsowane. Pozwala to atakującemu na zmuszenie punktu końcowego HTTP/2 do odczytu dowolnej ilości danych nagłówka, w tym danych kodowanych Huffmanem, których dekodowanie jest znacznie droższe dla odbiorcy niż wysłanie dla atakującego. Poprawka ustanawia limit nadmiarowych ramek nagłówka przetwarzanych przed zamknięciem połączenia.
- CVE-2026-49160Wysokie
Nieokiełznane zużycie zasobów w protokole HTTP/2 umożliwia nieuwierzytelnionemu atakującemu przeprowadzenie ataku DoS (odmowa usługi) przez sieć.
Oryginalny opis (angielski, źródło NVD)
Allocation of resources without limits or throttling in HTTP/2 allows an unauthorized attacker to deny service over a network.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS