p PatchFirst

CVE-2024-28182

CVE-2024-28182 · Reading unbounded number of HTTP/2 CONTINUATION frames to cause excessive CPU usage

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

nghttp2 is an implementation of the Hypertext Transfer Protocol version 2 in C. The nghttp2 library prior to version 1.61.0 keeps reading the unbounded number of HTTP/2 CONTINUATION frames even after a stream is reset to keep HPACK context in sync. This causes excessive CPU usage to decode HPACK stream. nghttp2 v1.61.0 mitigates this vulnerability by limiting the number of CONTINUATION frames it accepts per stream. There is no workaround for this vulnerability.

CVSS 5.3 · Moyenne · EPSS 85,0% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system

Produits et versions concernés

  • nghttp2

    Versions du logiciel
    • < 1.61.0: Concernée

    Aucun correctif publié

  • nghttp2 Debian:12

    Versions du logiciel
    • 1.52.0-1
    • 1.52.0-1+deb12u1
    Plages de versions concernées
    • ECOSYSTEM: < 1.52.0-1+deb12u2

    Mettez à jour vers 1.52.0-1+deb12u2

  • nghttp2 Debian:13

    Plages de versions concernées
    • ECOSYSTEM: < 1.61.0-1

    Mettez à jour vers 1.61.0-1

  • nghttp2 Debian:14

    Plages de versions concernées
    • ECOSYSTEM: < 1.61.0-1

    Mettez à jour vers 1.61.0-1

  • nghttp2 Ubuntu:Pro:16.04:LTS

    Versions du logiciel
    • 0.6.7-1
    • 1.3.4-2
    • 1.4.0-1
    • 1.4.0-2
    • 1.5.0-2
    • 1.6.0-1
    • 1.7.0-1
    • 1.7.1-1
    • 1.7.1-1ubuntu0.1~esm1
    Plages de versions concernées
    • ECOSYSTEM: < 1.7.1-1ubuntu0.1~esm2

    Mettez à jour vers 1.7.1-1ubuntu0.1~esm2

  • nghttp2 Ubuntu:Pro:18.04:LTS

    Versions du logiciel
    • 1.25.0-1
    • 1.27.0-1
    • 1.28.0-1
    • 1.29.0-1
    • 1.29.0-1build1
    • 1.30.0-1
    • 1.30.0-1ubuntu1
    • 1.30.0-1ubuntu1+esm1
    Plages de versions concernées
    • ECOSYSTEM: < 1.30.0-1ubuntu1+esm2

    Mettez à jour vers 1.30.0-1ubuntu1+esm2

  • nghttp2 Ubuntu:20.04:LTS

    Versions du logiciel
    • 1.39.2-1
    • 1.40.0-1
    • 1.40.0-1build1
    • 1.40.0-1ubuntu0.1
    • 1.40.0-1ubuntu0.2
    Plages de versions concernées
    • ECOSYSTEM: < 1.40.0-1ubuntu0.3

    Mettez à jour vers 1.40.0-1ubuntu0.3

  • nghttp2 Ubuntu:22.04:LTS

    Versions du logiciel
    • 1.43.0-1
    • 1.43.0-1build1
    • 1.43.0-1build2
    • 1.43.0-1build3
    • 1.43.0-1ubuntu0.1
    Plages de versions concernées
    • ECOSYSTEM: < 1.43.0-1ubuntu0.2

    Mettez à jour vers 1.43.0-1ubuntu0.2

  • nghttp2 Ubuntu:24.04:LTS

    Versions du logiciel
    • 1.55.1-1
    • 1.57.0-1
    • 1.58.0-1
    • 1.59.0-1
    • 1.59.0-1build1
    • 1.59.0-1build2
    • 1.59.0-1build4
    Plages de versions concernées
    • ECOSYSTEM: < 1.59.0-1ubuntu0.1

    Mettez à jour vers 1.59.0-1ubuntu0.1

Sources originales

Vérifiez votre serveur →