p PatchFirst

CVE-2026-27135

CVE-2026-27135 · nghttp2 Denial of service: Assertion failure due to the missing state validation

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Esta página muestra una selección de datos de las fuentes. Consulte los avisos enlazados para ver la descripción completa y las versiones afectadas.

nghttp2 is an implementation of the Hypertext Transfer Protocol version 2 in C. Prior to version 1.68.1, the nghttp2 library stops reading the incoming data when user facing public API `nghttp2_session_terminate_session` or `nghttp2_session_terminate_session2` is called by the application. They might be called internally by the library when it detects the situation that is subject to connection error. Due to the missing internal state validation, the library keeps reading the rest of the data after one of those APIs is called. Then receiving a malformed frame that causes FRAME_SIZE_ERROR causes assertion failure. nghttp2 v1.68.1 adds missing state validation to avoid assertion failure. No known workarounds are available.

CVSS 7.5 · Alta · EPSS 0,8% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • nghttp2

    Versiones
    • < 1.68.1: Afectada

    Sin corrección publicada

  • nghttp2 Debian:12

    Versiones
    • 1.52.0-1
    • 1.52.0-1+deb12u1
    • 1.52.0-1+deb12u2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.52.0-1+deb12u3

    Actualiza a 1.52.0-1+deb12u3

  • nghttp2 Debian:13

    Versiones
    • 1.64.0-1.1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.64.0-1.1+deb13u1

    Actualiza a 1.64.0-1.1+deb13u1

  • nghttp2 Debian:14

    Versiones
    • 1.64.0-1.1
    • 1.68.0-1
    • 1.68.0-2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.68.1-1

    Actualiza a 1.68.1-1

  • nghttp2 Ubuntu:Pro:16.04:LTS

    Versiones
    • 0.6.7-1
    • 1.3.4-2
    • 1.4.0-1
    • 1.4.0-2
    • 1.5.0-2
    • 1.6.0-1
    • 1.7.0-1
    • 1.7.1-1
    • 1.7.1-1ubuntu0.1~esm1
    • 1.7.1-1ubuntu0.1~esm2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.7.1-1ubuntu0.1~esm3

    Actualiza a 1.7.1-1ubuntu0.1~esm3

  • nghttp2 Ubuntu:Pro:18.04:LTS

    Versiones
    • 1.25.0-1
    • 1.27.0-1
    • 1.28.0-1
    • 1.29.0-1
    • 1.29.0-1build1
    • 1.30.0-1
    • 1.30.0-1ubuntu1
    • 1.30.0-1ubuntu1+esm1
    • 1.30.0-1ubuntu1+esm2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.30.0-1ubuntu1+esm3

    Actualiza a 1.30.0-1ubuntu1+esm3

  • nghttp2 Ubuntu:Pro:20.04:LTS

    Versiones
    • 1.39.2-1
    • 1.40.0-1
    • 1.40.0-1build1
    • 1.40.0-1ubuntu0.1
    • 1.40.0-1ubuntu0.2
    • 1.40.0-1ubuntu0.3
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.40.0-1ubuntu0.3+esm1

    Actualiza a 1.40.0-1ubuntu0.3+esm1

  • nghttp2 Ubuntu:22.04:LTS

    Versiones
    • 1.43.0-1
    • 1.43.0-1build1
    • 1.43.0-1build2
    • 1.43.0-1build3
    • 1.43.0-1ubuntu0.1
    • 1.43.0-1ubuntu0.2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.43.0-1ubuntu0.3

    Actualiza a 1.43.0-1ubuntu0.3

  • nghttp2 Ubuntu:24.04:LTS

    Versiones
    • 1.55.1-1
    • 1.57.0-1
    • 1.58.0-1
    • 1.59.0-1
    • 1.59.0-1build1
    • 1.59.0-1build2
    • 1.59.0-1build4
    • 1.59.0-1ubuntu0.1
    • 1.59.0-1ubuntu0.2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.59.0-1ubuntu0.3

    Actualiza a 1.59.0-1ubuntu0.3

  • nghttp2 Ubuntu:25.10

    Versiones
    • 1.64.0-1ubuntu1
    • 1.64.0-1.1
    • 1.64.0-1.1build1
    • 1.64.0-1.1ubuntu1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.64.0-1.1ubuntu1.1

    Actualiza a 1.64.0-1.1ubuntu1.1

  • nghttp2 Ubuntu:26.04:LTS

    Versiones
    • 1.64.0-1.1ubuntu1
    • 1.64.0-1.1ubuntu2
    • 1.68.0-1
    • 1.68.0-2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.68.0-2ubuntu0.1

    Actualiza a 1.68.0-2ubuntu0.1

Fuentes originales

Comprueba tu servidor →