The HTTP/2 protocol allows a denial of service (server resource consumption) because request cancellation can reset many streams quickly, as exploited in the wild in August through October 2023.
oryginał ENCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HCaddyserver Caddy
APPCaddyserver< 2.7.5Eclipse Jetty
APPEclipse< 9.4.5310.0.0 – 10.0.17 (bez)11.0.0 – 11.0.17 (bez)12.0.0 – 12.0.2 (bez)Envoyproxy Envoy
APPEnvoyproxy1.24.101.25.91.26.41.27.0F5 Big Ip Access Policy Manager
APPF517.1.016.1.0 – 16.1.413.1.0 – 13.1.514.1.0 – 14.1.515.1.0 – 15.1.10F5 Big Ip Advanced Firewall Manager
APPF517.1.014.1.0 – 14.1.516.1.0 – 16.1.413.1.0 – 13.1.515.1.0 – 15.1.10F5 Big Ip Advanced Web Application Firewall
APPF517.1.013.1.0 – 13.1.516.1.0 – 16.1.415.1.0 – 15.1.1014.1.0 – 14.1.5F5 Big Ip Analytics
APPF517.1.013.1.0 – 13.1.514.1.0 – 14.1.515.1.0 – 15.1.1016.1.0 – 16.1.4F5 Big Ip Application Acceleration Manager
APPF517.1.015.1.0 – 15.1.1016.1.0 – 16.1.414.1.0 – 14.1.513.1.0 – 13.1.5F5 Big Ip Application Security Manager
APPF517.1.015.1.0 – 15.1.1013.1.0 – 13.1.514.1.0 – 14.1.516.1.0 – 16.1.4F5 Big Ip Application Visibility And Reporting
APPF517.1.015.1.0 – 15.1.1013.1.0 – 13.1.516.1.0 – 16.1.414.1.0 – 14.1.5F5 Big Ip Carrier Grade Nat
APPF517.1.016.1.0 – 16.1.415.1.0 – 15.1.1013.1.0 – 13.1.514.1.0 – 14.1.5F5 Big Ip Ddos Hybrid Defender
APPF517.1.013.1.0 – 13.1.514.1.0 – 14.1.515.1.0 – 15.1.1016.1.0 – 16.1.4F5 Big Ip Domain Name System
APPF517.1.013.1.0 – 13.1.516.1.0 – 16.1.415.1.0 – 15.1.1014.1.0 – 14.1.5F5 Big Ip Fraud Protection Service
APPF517.1.015.1.0 – 15.1.1016.1.0 – 16.1.414.1.0 – 14.1.513.1.0 – 13.1.5F5 Big Ip Global Traffic Manager
APPF517.1.014.1.0 – 14.1.516.1.0 – 16.1.415.1.0 – 15.1.1013.1.0 – 13.1.5F5 Big Ip Link Controller
APPF517.1.013.1.0 – 13.1.516.1.0 – 16.1.415.1.0 – 15.1.1014.1.0 – 14.1.5F5 Big Ip Local Traffic Manager
APPF517.1.014.1.0 – 14.1.513.1.0 – 13.1.516.1.0 – 16.1.415.1.0 – 15.1.10F5 Big Ip Next
APPF520.0.1F5 Big Ip Next Service Proxy For Kubernetes
APPF51.5.0 – 1.8.2Golang Go
APPGolang1.21.0 – 1.21.3 (bez)< 1.20.10Golang Http2
APPGolang< 0.17.0Golang Networking
APPGolang< 0.17.0Ietf Http
APPIetf2.0Netty
APPNetty< 4.1.100Nghttp2
APPNghttp2< 1.57.0Siemens Ruggedcom Ape1808
HWSiemenswszystkie wersjeSiemens Ruggedcom Ape1808 Firmware
OSSiemenswszystkie wersjeSiemens Simatic S7 1500 Cpu 1518 4 Pn\/dp
HWSiemenswszystkie wersjeSiemens Simatic S7 1500 Cpu 1518 4 Pn\/dp Mfp Firmware
OSSiemens≥ 3.1.5Siemens Simatic S7 1500 Cpu 1518f 4 Pn\/dp Mfp
HWSiemenswszystkie wersje
CISA KEV — szczegółyi
- Dostawcai
- IETF
- Produkti
- HTTP/2
- Data dodania do KEVi
- 10 października 2023
- Termin remediation (USA)i
- 31 października 2023(po terminie)
Zastosuj mitygacje zgodnie z instrukcjami producenta, postępuj zgodnie z wytycznymi BOD 22-01 dla usług chmurowych lub zaprzestań używania produktu, jeśli mitygacje są niedostępne.
▸ Pokaż oryginał (EN)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
HTTP/2 zawiera podatność rapid reset umożliwiającą przeprowadzenie ataku distributed denial-of-service (DDoS).
▸ Pokaż oryginał (EN)
HTTP/2 contains a rapid reset vulnerability that allows for a distributed denial-of-service attack (DDoS).
Powiązane podatności
Buffer overflow RCE z uprawnieniami root w PAN-OS Captive Portal
Fortinet – Auth Bypass przez FortiCloud SSO w wielu produktach
Fortinet FortiOS/FortiProxy/FortiSwitchManager — Auth Bypass przez SAML
RCE w F5 BIG-IP APM poprzez złośliwy ruch sieciowy (stack buffer overflow)
Undisclosed requests may bypass configuration utility authentication, allowing an attacker with network access...