CVE-2025-8671
CVE-2025-8671
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Diese Seite zeigt ausgewählte Angaben aus den Quellen. Die vollständige Beschreibung und betroffene Versionen finden Sie in den verlinkten Sicherheitshinweisen.
A mismatch caused by client-triggered server-sent stream resets between HTTP/2 specifications and the internal architectures of some HTTP/2 implementations may result in excessive server resource consumption leading to denial-of-service (DoS). By opening streams and then rapidly triggering the server to reset them—using malformed frames or flow control errors—an attacker can exploit incorrect stream accounting. Streams reset by the server are considered closed at the protocol level, even though backend processing continues. This allows a client to cause the server to handle an unbounded number of concurrent streams on a single connection. This CVE will be updated as affected product details are released.
CVSS 7.5 · Hoch · EPSS 3,6% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system
Betroffene Produkte und Versionen
enterprise module for development tools
- Softwareversionen
- ≥ 15 SP2, < 15-SP5: Betroffen (custom)
Auf 15-SP5 aktualisieren
enterprise high performance computing (hpc)
- Softwareversionen
- ≥ 15, < 15 SP5: Betroffen (custom)
Keine Korrektur veröffentlicht
varnish enterprise
- Softwareversionen
- ≥ 6.0.x, ≤ 6.0.14r4: Betroffen (custom)
Keine Korrektur veröffentlicht
varnish cache
- Softwareversionen
- ≥ 6.0LTS, ≤ 6.014: Betroffen (custom)
Keine Korrektur veröffentlicht
varnish cache
- Softwareversionen
- ≥ 5.x, ≤ 7.71: Betroffen (custom)
Keine Korrektur veröffentlicht
h20
- Softwareversionen
- 579ecfa: Betroffen
Keine Korrektur veröffentlicht
linux
- Softwareversionen
- ≥ LTS22, ≤ TLS25: Betroffen (custom)
Keine Korrektur veröffentlicht
enterprise desktop
- Softwareversionen
- ≥ 15 SP6, < 15 SP7: Betroffen (custom)
Auf 15 SP7 aktualisieren
enterprise high performance computing
- Softwareversionen
- ≥ 15 SP3, < 15 SP7: Betroffen (custom)
Auf 15 SP7 aktualisieren
enterprise module for dev tools
- Softwareversionen
- ≥ 15 SP3, < 15 SP7: Betroffen (custom)
Auf 15 SP7 aktualisieren
enterprise module for package hub
- Softwareversionen
- ≥ 15 SP5, < 15 SP7: Betroffen (custom)
Auf 15 SP7 aktualisieren
enterprise server
- Softwareversionen
- ≥ 12 SP5, < 15 SP7: Betroffen (custom)
Auf 15 SP7 aktualisieren
enterprise server for sap applications
- Softwareversionen
- ≥ 15 SP6, < 15 SP7: Betroffen (custom)
Auf 15 SP7 aktualisieren
suse manager server
- Softwareversionen
- 4.3: Betroffen
Keine Korrektur veröffentlicht
suse manager server lts
- Softwareversionen
- 4.3: Betroffen
Keine Korrektur veröffentlicht
suse manager proxy
- Softwareversionen
- 4.3: Betroffen
Keine Korrektur veröffentlicht
suse manager retail branch server
- Softwareversionen
- 4.3: Betroffen
Keine Korrektur veröffentlicht
opensuse leap
- Softwareversionen
- 15.6: Betroffen
Keine Korrektur veröffentlicht
h2o Debian:12
- Softwareversionen
- 2.2.5+dfsg2-10
- 2.2.5+dfsg2-11
- 2.2.5+dfsg2-7
- 2.2.5+dfsg2-8
- 2.2.5+dfsg2-8.1
- 2.2.5+dfsg2-8.1~exp1
- 2.2.5+dfsg2-9
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
varnish Debian:12
- Softwareversionen
- 7.1.1-1.1
- 7.1.1-1.1+deb12u1
- 7.1.1-1.2
- 7.1.1-2+deb12u1
- 7.5.0-1
- 7.5.0-2
- 7.5.0-3
- 7.6.0-1
- 7.6.0-2
- 7.6.1-1
- 7.6.1-2
- 7.7.0-1
- 7.7.0-2
- 7.7.0-3
- 7.7.1-1
- 7.7.2-1
- 7.7.2-2
- 7.7.3-1
- 7.7.3-2
- 7.7.3-3
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
varnish Debian:13
- Softwareversionen
- 7.7.0-3
- Betroffene Versionsbereiche
- ECOSYSTEM: < 7.7.0-3+deb13u1
Auf 7.7.0-3+deb13u1 aktualisieren
lighttpd Ubuntu:Pro:14.04:LTS
- Softwareversionen
- 1.4.31-3ubuntu3
- 1.4.33-1ubuntu1
- 1.4.33-1+nmu2ubuntu1
- 1.4.33-1+nmu2ubuntu2
- 1.4.33-1+nmu2ubuntu2.1
- 1.4.33-1+nmu2ubuntu2.1+esm1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
varnish Ubuntu:14.04:LTS
- Softwareversionen
- 3.0.4-1ubuntu1
- 3.0.4-1ubuntu2
- 3.0.5-1ubuntu2
- 3.0.5-2
- 3.0.5-2ubuntu0.1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
lighttpd Ubuntu:Pro:16.04:LTS
- Softwareversionen
- 1.4.35-4ubuntu1
- 1.4.35-4ubuntu2
- 1.4.35-4ubuntu2.1
- 1.4.35-4ubuntu2.1+esm1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
Originalquellen
- https://galbarnahum.com/made-you-reset
- https://kb.cert.org/vuls/id/767506
- https://varnish-cache.org/security/VSV00017.html
- https://www.fastlystatus.com/incident/377810
- https://github.com/h2o/h2o/commit/4729b661e3c6654198d2cc62997e1af58bef4b80
- https://support2.windriver.com/index.php?page=security-notices
- https://www.suse.com/support/kb/doc/?id=000021980
- https://gitlab.isc.org/isc-projects/bind9/-/issues/5325
- https://github.com/h2o/h2o/security/advisories/GHSA-mrjm-qq9m-9mjq
- https://github.com/envoyproxy/envoy/issues/40739
- https://github.com/varnish/hitch/issues/397
- https://github.com/Kong/kong/discussions/14731
- https://deepness-lab.org/publications/madeyoureset/
- https://www.imperva.com/blog/madeyoureset-turning-http-2-server-against-itself/
- https://www.kb.cert.org/vuls/id/767506
- http://www.openwall.com/lists/oss-security/2025/09/18/1
- http://www.openwall.com/lists/oss-security/2025/08/13/6
- https://nvd.nist.gov/vuln/detail/CVE-2025-8671