PT-2024-2621 · Go+11 · Net/Http2+12
Bartek Nowotarski
·
Publicado
2024-03-06
·
Atualizado
2026-06-04
·
CVE-2023-45288
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
net/http e net/http2 em Go (versões afetadas não especificadas)
Descrição
Um invasor pode fazer com que um ponto de extremidade HTTP/2 leia quantidades arbitrárias de dados de cabeçalho enviando um número excessivo de quadros CONTINUATION. A manutenção do estado HPACK requer a análise e o processamento de todos os quadros HEADERS e CONTINUATION em uma conexão. Quando os cabeçalhos de uma solicitação excedem o valor de MaxHeaderBytes, nenhuma memória é alocada para armazenar os cabeçalhos excedentes, mas eles ainda são analisados. Isso permite que um invasor faça com que um endpoint HTTP/2 leia quantidades arbitrárias de dados de cabeçalho, todos associados a uma solicitação que será rejeitada. Esses cabeçalhos podem incluir dados codificados em Huffman, cuja decodificação pelo destinatário é significativamente mais dispendiosa do que o envio pelo invasor.
Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Debian
Linuxmint
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu
Net/Http
Net/Http2