Mod Http2
Уязвимости
5
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.91327
Распределение по критичности
Критический
1
Высокий
3
Средний
0
Низкий
1
Также сопоставлено как (исходные строки): mod_http2
Топ уязвимостей
CVE-2023-25690Некоторые конфигурации mod_proxy на Apache HTTP Server версий 2.4.0 до 2.4.55 позволяют атаки подделки HTTP-запросов.
Конфигурации затрагиваются, когда модуль mod_proxy включен вместе с какой-либо формой RewriteRule или ProxyPassMatch,
в которой не специфичный шаблон соответствует некоторой части целевого адреса,
предоставленного пользователем (URL), и затем повторно вставляется
в проксируемый целевой адрес с помощью переменной подстановки.
Например, что-то вроде:
RewriteEngine on
RewriteRule "^/here/(.*)" "http://example.com:8080/elsewhere?$1"; [P]
ProxyPassReverse /here/ http://example.com:8080/
Разделение/подделка запросов может привести к обходу контроля доступа
на прокси-сервере, проксированию непредусмотренных URL-адресов к существующим исходным серверам и отравлению кеша. Пользователям рекомендуется обновиться до как минимум версии 2.4.56 Apache HTTP Server.
CVE-2024-27316Входящие заголовки HTTP/2, превышающие лимит, временно буферизуются в nghttp2, чтобы сгенерировать информативный ответ HTTP 413. Если клиент не прекращает отправку заголовков, это приводит к исчерпанию памяти.
CVE-2023-45802Когда HTTP/2 поток был сброшен (RST frame) клиентом, существовало временное окно, в котором ресурсы памяти запроса не освобождались немедленно. Вместо этого де-аллокация откладывалась до закрытия соединения. Клиент мог отправлять новые запросы и сбросы, поддерживая соединение занятым и открытым, и вызывая постоянный рост объема памяти. При закрытии соединения все ресурсы освобождались, но процесс мог исчерпать память до этого.
Это было обнаружено репортером во время тестирования CVE-2023-44487 (HTTP/2 Rapid Reset Exploit) со своим собственным тестовым клиентом. Во время «нормального» использования HTTP/2 вероятность столкнуться с этой ошибкой очень низкая. Сохраненная память не станет заметной до закрытия или истечения времени ожидания соединения.
Рекомендуется обновиться до версии 2.4.58, в которой исправлена эта проблема.
CVE-2023-43622Атакующий, открыв соединение HTTP/2 с начальным размером окна 0, смог заблокировать обработку этого соединения на неопределенное время в Apache HTTP Server. Это могло бы использоваться для исчерпания ресурсов рабочего процесса на сервере, подобно известному шаблону атаки "slow loris". Эта проблема была исправлена в версии 2.4.58, так что такие соединения правильно завершены после заданного таймаута соединения.
Эта проблема затрагивает Apache HTTP Server: от 2.4.55 до 2.4.57.
Пользователям рекомендуется обновиться до версии 2.4.58, которая исправляет эту проблему.
CVE-2024-36387Обслуживание обновлений протокола WebSocket через соединение HTTP/2 может привести к разыменованию нулевого указателя, что приводит к сбою процесса сервера и ухудшению производительности.