Some HTTP/2 implementations are vulnerable to unconstrained interal data buffering, potentially leading to a denial of service
Some HTTP/2 implementations are vulnerable to unconstrained interal data buffering, potentially leading to a denial of service. The attacker opens the HTTP/2 window so the peer can send without constraint; however, they leave the TCP window closed so the peer cannot actually write (many of) the bytes on the wire. The attacker then sends a stream of requests for a large response object. Depending on how the servers queue the responses, this can consume excess memory, CPU, or both.
- BDU:2019-03647
- BDU:2019-03780
- ALSA-2019:2925
- DSA-4509-1
- openSUSE-SU-2019:2051-1
- openSUSE-SU-2019:2114-1
- openSUSE-SU-2019:2115-1
- RHSA-2019:2893
- RHSA-2019:2925
- RHSA-2019:2939
- RHSA-2019:2946
- RHSA-2019:2949
- RHSA-2019:2955
- RHSA-2019:3932
- RHSA-2019:3933
- RLSA-2019:2925
- SUSE-SU-2019:2237-1
- SUSE-SU-2019:2254-1
- SUSE-SU-2019:2259-1
- SUSE-SU-2019:2260-1
- Опубликовано
- 13 авг. 2019 г.
- Обновлено
- 16 июн. 2026 г.
- EPSS
- 27,9 % · 98-й процентиль
- CWE
- CWE-400
Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.
Инструменты для отчёта
Оценка срочности
38
Наблюдать
Пока низкий приоритет.
- CVSS
- 30 / 40 · 7.5 / 10
- CISA KEV
- 0 / 30 · Нет в списке
- EPSS
- 8 / 30 · 27,9 %
Оценка CNA и NVD
- NVD
- 7,5
- CNA · certcc
- 7,5
- совпадают
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.
Анализ Noroxi
Анализа Noroxi для этой записи пока нет
Мы не пишем анализ вручную для сотен тысяч уязвимостей в базе; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.
Мы используем этот продукт, нужна помощьЗатронутые системы
| Вендор | Продукт | CPE |
|---|---|---|
| apple | swiftnio | cpe:2.3:a:apple:swiftnio |
| apple | mac os x | cpe:2.3:o:apple:mac_os_x |
| canonical | ubuntu linux | cpe:2.3:o:canonical:ubuntu_linux |
| apache | http server | cpe:2.3:a:apache:http_server |
| apache | traffic server | cpe:2.3:a:apache:traffic_server |
| debian | debian linux | cpe:2.3:o:debian:debian_linux |
| synology | skynas | cpe:2.3:a:synology:skynas |
| synology | diskstation manager | cpe:2.3:o:synology:diskstation_manager |
| synology | vs960hd firmware | cpe:2.3:o:synology:vs960hd_firmware |
| synology | vs960hd | cpe:2.3:h:synology:vs960hd |
| fedoraproject | fedora | cpe:2.3:o:fedoraproject:fedora |
| opensuse | leap | cpe:2.3:o:opensuse:leap |
и ещё 13
Затронутые версии
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- apache http server2.4.20 и новее · до 2.4.40
- nodejs node.js8.0.0 и новее · до 8.8.1 включительно
- nodejs node.js8.9.0 и новее · до 8.16.1
- nodejs node.js10.0.0 и новее · до 10.12.0 включительно
- nodejs node.js10.13.0 и новее · до 10.16.3
- nodejs node.js12.0.0 и новее · до 12.8.1
Затронутые пакеты
Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.
| Экосистема | Пакет | Затронутый диапазон | Исправление |
|---|---|---|---|
| AlmaLinux:8 | nodejs-nodemon | до 1.18.3-1.module_el8.3.0+2023+d2377ea3 | 1.18.3-1.module_el8.3.0+2023+d2377ea3 |
| AlmaLinux:8 | nodejs-nodemon | до 1.18.3-1.module_el8.3.0+2047+b07ac28e | 1.18.3-1.module_el8.3.0+2047+b07ac28e |
| AlmaLinux:8 | nodejs-packaging | до 17-3.module_el8.4.0+2521+c668cc9f | 17-3.module_el8.4.0+2521+c668cc9f |
| AlmaLinux:8 | nodejs-packaging | до 17-3.module_el8.4.0+2224+b07ac28e | 17-3.module_el8.4.0+2224+b07ac28e |
| AlmaLinux:8 | nodejs-packaging | до 17-3.module_el8.3.0+2023+d2377ea3 | 17-3.module_el8.3.0+2023+d2377ea3 |
| Alpine:v3.10 | apache2 | до 2.4.41-r0 | 2.4.41-r0 |
| Alpine:v3.10 | nodejs | до 10.16.3-r0 | 10.16.3-r0 |
| Debian:10 | apache2 | до 2.4.38-3+deb10u1 | 2.4.38-3+deb10u1 |
| Debian:12 | apache2 | до 2.4.41-1 | 2.4.41-1 |
| Debian:9 | apache2 | до 2.4.25-3+deb9u8 | 2.4.25-3+deb9u8 |
| openSUSE:Leap 15.0 | apache2 | до 2.4.33-lp151.8.6.1 | 2.4.33-lp151.8.6.1 |
| openSUSE:Leap 15.0 | nodejs10 | до 10.16.3-lp151.2.6.1 | 10.16.3-lp151.2.6.1 |
| openSUSE:Leap 15.0 | nodejs8 | до 8.16.1-lp151.2.6.1 | 8.16.1-lp151.2.6.1 |
| Red Hat:enterprise_linux:8::appstream | httpd | до 0:2.4.37-12.module+el8.0.0+4096+eb40e6da | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da |
| Red Hat:enterprise_linux:8::appstream | httpd-debuginfo | до 0:2.4.37-12.module+el8.0.0+4096+eb40e6da | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da |
| Red Hat:enterprise_linux:8::appstream | httpd-debugsource | до 0:2.4.37-12.module+el8.0.0+4096+eb40e6da | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da |
| Red Hat:enterprise_linux:8::appstream | httpd-devel | до 0:2.4.37-12.module+el8.0.0+4096+eb40e6da | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da |
| Red Hat:enterprise_linux:8::appstream | httpd-filesystem | до 0:2.4.37-12.module+el8.0.0+4096+eb40e6da | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da |
| Red Hat:enterprise_linux:8::appstream | httpd-manual | до 0:2.4.37-12.module+el8.0.0+4096+eb40e6da | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da |
| Red Hat:enterprise_linux:8::appstream | httpd-tools | до 0:2.4.37-12.module+el8.0.0+4096+eb40e6da | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da |
| Red Hat:enterprise_linux:8::appstream | httpd-tools-debuginfo | до 0:2.4.37-12.module+el8.0.0+4096+eb40e6da | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da |
| Red Hat:enterprise_linux:8::appstream | mod_http2 | до 0:1.11.3-3.module+el8.0.0+4096+eb40e6da | 0:1.11.3-3.module+el8.0.0+4096+eb40e6da |
| Red Hat:enterprise_linux:8::appstream | mod_http2-debuginfo | до 0:1.11.3-3.module+el8.0.0+4096+eb40e6da | 0:1.11.3-3.module+el8.0.0+4096+eb40e6da |
| Red Hat:enterprise_linux:8::appstream | mod_http2-debugsource | до 0:1.11.3-3.module+el8.0.0+4096+eb40e6da | 0:1.11.3-3.module+el8.0.0+4096+eb40e6da |
+96
Тот же продукт
apple: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2019-9515Some HTTP/2 implementations are vulnerable to a settings flood, potentially leading to a denial of service56В плане
- CVE-2019-9514Some HTTP/2 implementations are vulnerable to a reset flood, potentially leading to a denial of service55В плане
- CVE-2019-9512Some HTTP/2 implementations are vulnerable to ping floods, potentially leading to a denial of service55В плане
- CVE-2019-9513Some HTTP/2 implementations are vulnerable to resource loops, potentially leading to a denial of service54В плане
- CVE-2019-9511Some HTTP/2 implementations are vulnerable to window size manipulation and stream prioritization manipulation, potentially leading to a denial of service48В плане
- CVE-2019-9516Some HTTP/2 implementations are vulnerable to a header leak, potentially leading to a denial of service43В плане
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| almalinux:nodejs-nodemon | 1.18.3-1.module_el8.3.0+2023+d2377ea3 · AlmaLinux:8 | Реестр пакетов (OSV) |
| almalinux:nodejs-packaging | 17-3.module_el8.4.0+2224+b07ac28e · AlmaLinux:8 | Реестр пакетов (OSV) |
| alpine:apache2 | 2.4.41-r0 · Alpine:v3.10 | Реестр пакетов (OSV) |
| alpine:nodejs | 10.16.3-r0 · Alpine:v3.10 | Реестр пакетов (OSV) |
| debian:apache2 | 2.4.41-1 · Debian:12 | Реестр пакетов (OSV) |
| opensuse:apache2 | 2.4.33-lp151.8.6.1 · openSUSE:Leap 15.0 | Реестр пакетов (OSV) |
| opensuse:nodejs10 | 10.16.3-lp151.2.6.1 · openSUSE:Leap 15.0 | Реестр пакетов (OSV) |
| opensuse:nodejs8 | 8.16.1-lp151.2.6.1 · openSUSE:Leap 15.0 | Реестр пакетов (OSV) |
| red hat:httpd | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da · Red Hat:enterprise_linux:8::appstream | Реестр пакетов (OSV) |
| red hat:httpd-debuginfo | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da · Red Hat:enterprise_linux:8::appstream | Реестр пакетов (OSV) |
| red hat:httpd-debugsource | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da · Red Hat:enterprise_linux:8::appstream | Реестр пакетов (OSV) |
| red hat:httpd-devel | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da · Red Hat:enterprise_linux:8::appstream | Реестр пакетов (OSV) |
| red hat:httpd-filesystem | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da · Red Hat:enterprise_linux:8::appstream | Реестр пакетов (OSV) |
| red hat:httpd-manual | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da · Red Hat:enterprise_linux:8::appstream | Реестр пакетов (OSV) |
| red hat:httpd-tools | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da · Red Hat:enterprise_linux:8::appstream | Реестр пакетов (OSV) |
| red hat:httpd-tools-debuginfo | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da · Red Hat:enterprise_linux:8::appstream | Реестр пакетов (OSV) |
| red hat:mod_http2 | 0:1.11.3-3.module+el8.0.0+4096+eb40e6da · Red Hat:enterprise_linux:8::appstream | Реестр пакетов (OSV) |
| red hat:mod_http2-debuginfo | 0:1.11.3-3.module+el8.0.0+4096+eb40e6da · Red Hat:enterprise_linux:8::appstream | Реестр пакетов (OSV) |
| red hat:mod_http2-debugsource | 0:1.11.3-3.module+el8.0.0+4096+eb40e6da · Red Hat:enterprise_linux:8::appstream | Реестр пакетов (OSV) |
| red hat:mod_ldap | 0:2.4.37-12.module+el8.0.0+4096+eb40e6da · Red Hat:enterprise_linux:8::appstream | Реестр пакетов (OSV) |
| rocky linux:nodejs-nodemon | 0:1.18.3-1.module+el8.3.0+101+f84c7154 · Rocky Linux:8 | Реестр пакетов (OSV) |
| rocky linux:nodejs-packaging | 0:17-3.module+el8.3.0+101+f84c7154 · Rocky Linux:8 | Реестр пакетов (OSV) |
| suse:apache2 | 2.4.33-3.21.1 · SUSE:Linux Enterprise Module for Server Applications 15 | Реестр пакетов (OSV) |
| suse:nodejs10 | 10.16.3-1.12.1 · SUSE:Linux Enterprise Module for Web and Scripting 12 | Реестр пакетов (OSV) |
| suse:nodejs12 | 12.13.0-1.3.1 · SUSE:Linux Enterprise Module for Web and Scripting 12 | Реестр пакетов (OSV) |
| suse:nodejs8 | 8.16.1-3.20.1 · SUSE:Linux Enterprise Module for Web and Scripting 15 | Реестр пакетов (OSV) |
Статус эксплойта
Публичный эксплойт неизвестен
Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
Кроме публикации датированных событий нет.
Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Среди источников нет ссылок на коммит или PR.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
- Jonathan LooneyNetflix
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
Ночной расчёт связей ничего не нашёл.
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
—
Охват bug bounty
Известной публичной программы нет.
Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).
Национальное уведомление (Управление кибербезопасности Турции / USOM)
Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.
- TR-19-174 · 30 сент. 2019 г.(Apache httpd 2 Sunucu Güvenlik Güncellemesi)
- TR-19-118 · 26 авг. 2019 г.(Apache httpd 2 Sunucu Güvenlik Güncellemesi)
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Учётная запись или пароль не требуются.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- нет
- Целостность
- нет
- Доступность
- высокое · работа сервиса может быть нарушена
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Не требуются
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Не изменяется
- Влияние на конфиденциальность
- Нет
- Влияние на целостность
- Нет
- Влияние на доступность
- Высокое
Класс уязвимости (CWE)
CWE-400 · Uncontrolled Resource ConsumptionВектор CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
nvd-primary
Первопричина
Код, разбирающий вложенные структуры, не ограничивает глубину или размер. Небольшие входные данные могут привести к несоразмерной вычислительной нагрузке.
Ошибка в коде
Весь класс CWE-400Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.
Уязвимый код
function expand(node) { return node.children.map(expand);}Исправленный код
const MAX_DEPTH = 32;function expand(node, depth = 0) { if (depth > MAX_DEPTH) throw new Error("слишком глубоко"); return node.children.map((c) => expand(c, depth + 1));}Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
Журнал изменений
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
- lists.opensuse.org/opensuse-security-announce/2019-09/msg00004.html
- lists.opensuse.org/opensuse-security-announce/2019-09/msg00031.html
- lists.opensuse.org/opensuse-security-announce/2019-09/msg00032.html
- www.openwall.com/lists/oss-security/2019/08/15/7
- access.redhat.com/errata/RHSA-2019:2893
- access.redhat.com/errata/RHSA-2019:2925
- access.redhat.com/errata/RHSA-2019:2939
- access.redhat.com/errata/RHSA-2019:2946
- access.redhat.com/errata/RHSA-2019:2949
- access.redhat.com/errata/RHSA-2019:2950
- access.redhat.com/errata/RHSA-2019:2955
- access.redhat.com/errata/RHSA-2019:3932
- access.redhat.com/errata/RHSA-2019:3933
- access.redhat.com/errata/RHSA-2019:3935
- github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-002.md
- kb.cert.org/vuls/id/605641/
- kc.mcafee.com/corporate/index?page=content&id=SB10296
- lists.apache.org/thread.html/4610762456644181b267c846423b3a990bd4aaea1886ecc7d51febdb%40%3Cannounce.httpd.apache.org%3E
- lists.apache.org/thread.html/56c2e7cc9deb1c12a843d0dc251ea7fd3e7e80293cde02fcd65286ba%40%3Ccvs.httpd.apache.org%3E
- lists.apache.org/thread.html/d89f999e26dfb1d50f247ead1fe8538014eb412b2dbe5be4b1a9ef50%40%3Cdev.httpd.apache.org%3E
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.