CVE-2020-11080
Açıklama
nghttp2 1.41.0 sürümünden önceki sürümlerde, aşırı büyük HTTP/2 SETTINGS çerçeve yükü hizmet reddine (DoS) neden olur. Kavram kanıtlama saldırısı, kötü niyetli bir istemcinin tekrar tekrar 14.400 bayt uzunluğunda (2400 ayrı ayar girişi) bir SETTINGS çerçevesi oluşturmasını içerir. Bu saldırı, CPU'nun %100'e çıkmasına neden olur. nghttp2 v1.41.0 bu güvenlik açığını giderir. Bu güvenlik açığı için bir geçici çözüm mevcuttur: nghttp2_on_frame_recv_callback geri çağırmasını uygulayın ve eğer alınan çerçeve bir SETTINGS çerçevesiyse ve ayar girişlerinin sayısı yüksekse (örneğin > 32), bağlantıyı kesin.
Nasıl düzeltilir
- nghttp2 nghttp21.41.0 ya da sonraki bir sürüm
- oracle blockchain_platform21.1.2 ya da sonraki bir sürüm
- nodejs node.js10.21.0, 12.18.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nghttp2 nghttp2 | v < 1.41.0 | 1.41.0 |
| debian debian_linux | 9.0, 10.0 | — |
| opensuse leap | 15.1 | — |
| fedoraproject fedora | 31, 33 | — |
| oracle banking_extensibility_workbench | 14.3.0, 14.4.0 | — |
| oracle blockchain_platform | v < 21.1.2 | 21.1.2 |
| oracle enterprise_communications_broker | 3.1.0, 3.2.0 | — |
| oracle graalvm | 19.3.2, 20.1.0 | — |
| oracle mysql | 7.3.0 ≤ v ≤ 7.3.30, 7.4.0 ≤ v ≤ 7.4.29, 7.5.0 ≤ v ≤ 7.5.19, 7.6.0 ≤ v ≤ 7.6.15, 8.0.0 ≤ v ≤ 8.0.21 | — |
| nodejs node.js | 10.0.0 ≤ v ≤ 10.12.0, 10.13.0 ≤ v < 10.21.0, 12.0.0 ≤ v ≤ 12.12.0, 12.13.0 ≤ v < 12.18.0, 14.0.0 ≤ v ≤ 14.4.0 | 10.21.0, 12.18.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.