PT-2020-4061 · Nghttp2+9 · Nghttp2+9
Publicado
2020-01-24
·
Atualizado
2026-05-18
·
CVE-2020-11080
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:N/A:C |
**Nome do software vulnerável e versões afetadas:
Versões do nghttp2 anteriores à 1.41.0
Descrição:
O problema está relacionado ao tratamento de quadros SETTINGS do HTTP/2 no nghttp2, onde uma carga útil excessivamente grande no quadro pode causar uma negação de serviço. Um cliente mal-intencionado pode construir um quadro SETTINGS com um grande número de entradas de configuração, fazendo com que a CPU atinja 100% de utilização. Isso pode ser feito enviando vários quadros SETTINGS com um comprimento de 14.400 bytes, contendo 2.400 entradas de configuração individuais.
Recomendações:
Para versões anteriores à 1.41.0, atualize para a versão 1.41.0 do nghttp2 para resolver o problema.
Como solução alternativa temporária, considere implementar o callback
nghttp2 on frame recv callback para encerrar a conexão caso seja recebido um quadro SETTINGS com um grande número de entradas de configuração (por exemplo, > 32).Correção
DoS
Resource Exhaustion
Improper Neutralization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Linuxmint
Red Hat
Rocky Linux
Suse
Ubuntu
Nghttp2