PT-2022-16785 · Apple · Swift-Nio-Http2
Lukasapublished
·
Publicado
2022-02-09
·
Atualizado
2023-05-18
·
CVE-2022-24667
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
swift-nio-http2, versões 1.0.0 a 1.19.1
Descrição
Um programa que utilize o swift-nio-http2 está vulnerável a um ataque de negação de serviço, causado por um par de rede que envie um bloco de cabeçalho codificado em HPACK especialmente criado. Esse ataque afeta o swift-nio-http2 e pode ser desencadeado pelo envio de um bloco de cabeçalho HPACK malicioso em qualquer um dos quadros que transportem HPACK em uma conexão HTTP/2, como
HEADERS e PUSH PROMISE, em qualquer posição. O ataque requer pouco esforço e pode ser repetido para causar uma negação de serviço substancial, levando o servidor a travar e a interromper todas as conexões em andamento. Embora o ataque em si não apresente riscos à confidencialidade ou integridade, travamentos repentinos de processos podem levar a violações de invariantes nos serviços, potencialmente desencadeando condições de erro com tais riscos.Recomendações
Para as versões 1.0.0 a 1.19.1 do swift-nio-http2, atualize para a versão 1.19.2 ou posterior para corrigir o problema.
Como solução alternativa temporária, considere restringir o acesso a pares não confiáveis para mitigar o risco de ataques de negação de serviço.
Correção
Integer Overflow
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Swift-Nio-Http2