PT-2026-60604 · H2O · H2O

CVE-2026-44453 · Publicado 2026-07-16 · Atualizado 2026-07-16

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas h2o versões anteriores ao commit 6b5370d

Description Um problema de Negação de Serviço ocorre quando o servidor fornece arquivos estáticos. O software constrói o caminho do arquivo na pilha usando a função alloca(). Sob certas condições, a memória alocada via alloca() pode chegar a aproximadamente 600KB, o que excede o tamanho padrão da pilha pthread de 128KB usado pela musl libc. Isso resulta em um erro de segmentação e no travamento do servidor quando o processo tenta acessar a guard page (uma página de memória usada para detectar estouros de pilha).

Recommendations Atualize para a versão que contém o commit 6b5370d.

Exploit

Correção

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-789

CWE-770

Identificadores relacionados

CVE-2026-44453

GHSA-RF9V-M59P-MQ84

Produtos afetados

H2O

Referências · 5

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/44xxx/CVE-2026-44453.json · Exploit
• https://github.com/h2o/h2o/commit/6b5370d9d09fcf83aa7620ddf77de1954a192181 · Nota
• https://github.com/h2o/h2o/security/advisories/GHSA-rf9v-m59p-mq84 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-44453 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-44453 · Aviso do Fabricante