CVE-2026-44453
Açıklama
h2o; HTTP/1.x, HTTP/2 ve HTTP/3 desteğine sahip bir HTTP sunucusudur. 6b5370d commit'inden önce h2o, belirli koşullar altında alloca çağrıldığında Hizmet Reddi (Denial of Service) saldırısına karşı savunmasızdır. Statik dosyalar sunulurken h2o, alloca çağırarak dosya yolunu yığın (stack) üzerinde oluşturur. alloca kullanılarak ayrılan belleğin maksimum boyutu ~600KB kadar büyük olabilir ve bu durum musl libc tarafından kullanılan varsayılan pthread yığın boyutunu (128KB) aşar. alloca tarafından ayrılan bellek miktarı yığın boyutunu aşarsa, h2o sunucusu koruma sayfasına (guard page) erişmeye çalışırken bir segmentasyon hatasıyla çöker. Bu sorun 6b5370d commit'i ile düzeltilmiştir.
Nasıl düzeltilir
- h2o h2o2026-05-29 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| h2o h2o | v < 2026-05-29 | 2026-05-29 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.