PT-2020-5483 · Apache+8 · Apache Http Server+8
Publicado
2020-08-07
·
Atualizado
2025-05-01
·
CVE-2020-11993
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
Versões 2.4.20 a 2.4.43 do Apache HTTP Server
Descrição
O problema está relacionado à implementação do mecanismo HTTP/2 no servidor HTTP Apache, o que pode levar a uma interpretação inconsistente das solicitações HTTP. Isso pode fazer com que instruções de registro sejam feitas na conexão errada quando o trace/debug estiver habilitado para o módulo HTTP/2 e determinados padrões de tráfego de borda forem encontrados, resultando no uso simultâneo de pools de memória. Configurar o LogLevel do mod http2 acima de “info” pode mitigar esse problema em servidores sem patch.
Recomendações
Para as versões 2.4.20 a 2.4.43 do servidor HTTP Apache, configure o LogLevel do mod http2 acima de “info” para mitigar o problema. Como solução alternativa temporária, considere restringir o uso do módulo HTTP/2 até que um patch esteja disponível.
Exploit
Correção
HTTP Request/Response Smuggling
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Apache Http Server
Centos
Linuxmint
Red Hat
Rocky Linux
Suse
Ubuntu