p PatchFirst

CVE-2026-27135

CVE-2026-27135 · nghttp2 Denial of service: Assertion failure due to the missing state validation

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Diese Seite zeigt ausgewählte Angaben aus den Quellen. Die vollständige Beschreibung und betroffene Versionen finden Sie in den verlinkten Sicherheitshinweisen.

nghttp2 is an implementation of the Hypertext Transfer Protocol version 2 in C. Prior to version 1.68.1, the nghttp2 library stops reading the incoming data when user facing public API `nghttp2_session_terminate_session` or `nghttp2_session_terminate_session2` is called by the application. They might be called internally by the library when it detects the situation that is subject to connection error. Due to the missing internal state validation, the library keeps reading the rest of the data after one of those APIs is called. Then receiving a malformed frame that causes FRAME_SIZE_ERROR causes assertion failure. nghttp2 v1.68.1 adds missing state validation to avoid assertion failure. No known workarounds are available.

CVSS 7.5 · Hoch · EPSS 0,8% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system

Betroffene Produkte und Versionen

  • nghttp2

    Softwareversionen
    • < 1.68.1: Betroffen

    Keine Korrektur veröffentlicht

  • nghttp2 Debian:12

    Softwareversionen
    • 1.52.0-1
    • 1.52.0-1+deb12u1
    • 1.52.0-1+deb12u2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.52.0-1+deb12u3

    Auf 1.52.0-1+deb12u3 aktualisieren

  • nghttp2 Debian:13

    Softwareversionen
    • 1.64.0-1.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.64.0-1.1+deb13u1

    Auf 1.64.0-1.1+deb13u1 aktualisieren

  • nghttp2 Debian:14

    Softwareversionen
    • 1.64.0-1.1
    • 1.68.0-1
    • 1.68.0-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.68.1-1

    Auf 1.68.1-1 aktualisieren

  • nghttp2 Ubuntu:Pro:16.04:LTS

    Softwareversionen
    • 0.6.7-1
    • 1.3.4-2
    • 1.4.0-1
    • 1.4.0-2
    • 1.5.0-2
    • 1.6.0-1
    • 1.7.0-1
    • 1.7.1-1
    • 1.7.1-1ubuntu0.1~esm1
    • 1.7.1-1ubuntu0.1~esm2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.7.1-1ubuntu0.1~esm3

    Auf 1.7.1-1ubuntu0.1~esm3 aktualisieren

  • nghttp2 Ubuntu:Pro:18.04:LTS

    Softwareversionen
    • 1.25.0-1
    • 1.27.0-1
    • 1.28.0-1
    • 1.29.0-1
    • 1.29.0-1build1
    • 1.30.0-1
    • 1.30.0-1ubuntu1
    • 1.30.0-1ubuntu1+esm1
    • 1.30.0-1ubuntu1+esm2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.30.0-1ubuntu1+esm3

    Auf 1.30.0-1ubuntu1+esm3 aktualisieren

  • nghttp2 Ubuntu:Pro:20.04:LTS

    Softwareversionen
    • 1.39.2-1
    • 1.40.0-1
    • 1.40.0-1build1
    • 1.40.0-1ubuntu0.1
    • 1.40.0-1ubuntu0.2
    • 1.40.0-1ubuntu0.3
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.40.0-1ubuntu0.3+esm1

    Auf 1.40.0-1ubuntu0.3+esm1 aktualisieren

  • nghttp2 Ubuntu:22.04:LTS

    Softwareversionen
    • 1.43.0-1
    • 1.43.0-1build1
    • 1.43.0-1build2
    • 1.43.0-1build3
    • 1.43.0-1ubuntu0.1
    • 1.43.0-1ubuntu0.2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.43.0-1ubuntu0.3

    Auf 1.43.0-1ubuntu0.3 aktualisieren

  • nghttp2 Ubuntu:24.04:LTS

    Softwareversionen
    • 1.55.1-1
    • 1.57.0-1
    • 1.58.0-1
    • 1.59.0-1
    • 1.59.0-1build1
    • 1.59.0-1build2
    • 1.59.0-1build4
    • 1.59.0-1ubuntu0.1
    • 1.59.0-1ubuntu0.2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.59.0-1ubuntu0.3

    Auf 1.59.0-1ubuntu0.3 aktualisieren

  • nghttp2 Ubuntu:25.10

    Softwareversionen
    • 1.64.0-1ubuntu1
    • 1.64.0-1.1
    • 1.64.0-1.1build1
    • 1.64.0-1.1ubuntu1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.64.0-1.1ubuntu1.1

    Auf 1.64.0-1.1ubuntu1.1 aktualisieren

  • nghttp2 Ubuntu:26.04:LTS

    Softwareversionen
    • 1.64.0-1.1ubuntu1
    • 1.64.0-1.1ubuntu2
    • 1.68.0-1
    • 1.68.0-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.68.0-2ubuntu0.1

    Auf 1.68.0-2ubuntu0.1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →