CVE-2024-28182

Orta

Açıklama

nghttp2, C dilinde yazılmış bir Hypertext Transfer Protocol sürüm 2 uygulamasıdır. 1.61.0 sürümü öncesindeki nghttp2 kütüphanesi, HPACK bağlamını senkronize tutmak için bir akış sıfırlandıktan sonra bile sınırsız sayıda HTTP/2 CONTINUATION çerçevesini okumaya devam eder. Bu durum, HPACK akışının çözümlenmesi sırasında aşırı CPU kullanımına neden olur. nghttp2 v1.61.0, akış başına kabul ettiği CONTINUATION çerçevelerinin sayısını sınırlayarak bu güvenlik açığını giderir. Bu güvenlik açığı için herhangi bir geçici çözüm bulunmamaktadır.

ÖnemOrta

CVSS5.3

İstismar olasılığı—

Ürün

Nghttp2

Yayın4 Nis 2024

İlk görülme4 Nis 2024

Zayıflık türüCWE-770Sınırsız kaynak ayırma

Nasıl düzeltilir

Güncelleyin

nghttp2 nghttp21.61.0 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
nghttp2 nghttp2	v < 1.61.0	1.61.0
debian debian_linux	10.0, 11.0	—
fedoraproject fedora	38, 39, 40	—

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.