PT-2024-2590 · Apache+12 · Apache Http Server+13
Bartek Nowotarski
·
Publicado
2024-02-22
·
Atualizado
2025-10-07
·
CVE-2024-27316
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:N/A:C |
Nome do software vulnerável e versões afetadas
Versões do nghttp2 anteriores à versão corrigida
Versões do Apache HTTP Server anteriores à versão corrigida
Software da Apple (versões afetadas não especificadas)
NetApp ONTAP (versões afetadas não especificadas)
Fedoraproject Fedora (versões afetadas não especificadas)
Descrição
O problema está relacionado ao tratamento de cabeçalhos HTTP/2 recebidos, em que a ultrapassagem do limite leva a um buffer temporário para gerar uma resposta HTTP 413 informativa. Se um cliente não parar de enviar cabeçalhos, isso resulta em esgotamento de memória. A vulnerabilidade também está associada ao consumo descontrolado de recursos devido à determinação incorreta do fim de um cabeçalho ao processar quadros CONTINUATION. A exploração da vulnerabilidade pode permitir que um invasor remoto cause uma negação de serviço enviando solicitações HTTP especialmente criadas.
Recomendações
Para o nghttp2, atualize para uma versão que inclua uma correção para este problema.
Para o Apache HTTP Server, atualize para uma versão que inclua uma correção para este problema.
Para o Apple Software, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Para o NetApp ONTAP, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Para o Fedoraproject Fedora, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Como solução alternativa temporária, considere restringir o acesso ao protocolo
HTTP/2 até que um patch esteja disponível.Evite usar
Exploit
DoS
Allocation of Resources Without Limits
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Apache Http Server
Softwarex
Astra Linux
Centos
Linuxmint
Apple Macos
Netapp Ontap
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu