PT-2024-31601 · H2O+1 · H2O+1
Mwedl
·
Publicado
2024-10-11
·
Atualizado
2024-11-12
·
CVE-2024-45397
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas:
h2o (versões afetadas não especificadas)
Descrição:
A vulnerabilidade diz respeito a um servidor HTTP que suporta várias versões do protocolo HTTP. Quando determinadas condições são atendidas, como o recebimento de uma solicitação HTTP utilizando dados antecipados do TLS/1.3 sobre pacotes TCP Fast Open ou QUIC 0-RTT, e o controle de acesso baseado em endereço IP está em uso, o controle de acesso falha em detectar e bloquear solicitações HTTP provenientes de pacotes com endereço de origem falsificado. Isso permite que invasores executem solicitações HTTP a partir de endereços que normalmente seriam rejeitados.
Recomendações:
Para todas as versões afetadas, considere desativar o uso de TCP FastOpen e QUIC como medida de mitigação temporária até que um patch esteja disponível.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Exploit
Improper Access Control
Authentication Bypass by Spoofing
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Debian
H2O