CVE-2025-8671
CVE-2025-8671
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Cette page présente une partie des faits des sources. Consultez les avis liés pour la description complète et les versions concernées.
A mismatch caused by client-triggered server-sent stream resets between HTTP/2 specifications and the internal architectures of some HTTP/2 implementations may result in excessive server resource consumption leading to denial-of-service (DoS). By opening streams and then rapidly triggering the server to reset them—using malformed frames or flow control errors—an attacker can exploit incorrect stream accounting. Streams reset by the server are considered closed at the protocol level, even though backend processing continues. This allows a client to cause the server to handle an unbounded number of concurrent streams on a single connection. This CVE will be updated as affected product details are released.
CVSS 7.5 · Élevée · EPSS 3,6% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system
Produits et versions concernés
enterprise module for development tools
- Versions du logiciel
- ≥ 15 SP2, < 15-SP5: Concernée (custom)
Mettez à jour vers 15-SP5
enterprise high performance computing (hpc)
- Versions du logiciel
- ≥ 15, < 15 SP5: Concernée (custom)
Aucun correctif publié
varnish enterprise
- Versions du logiciel
- ≥ 6.0.x, ≤ 6.0.14r4: Concernée (custom)
Aucun correctif publié
varnish cache
- Versions du logiciel
- ≥ 6.0LTS, ≤ 6.014: Concernée (custom)
Aucun correctif publié
varnish cache
- Versions du logiciel
- ≥ 5.x, ≤ 7.71: Concernée (custom)
Aucun correctif publié
h20
- Versions du logiciel
- 579ecfa: Concernée
Aucun correctif publié
linux
- Versions du logiciel
- ≥ LTS22, ≤ TLS25: Concernée (custom)
Aucun correctif publié
enterprise desktop
- Versions du logiciel
- ≥ 15 SP6, < 15 SP7: Concernée (custom)
Mettez à jour vers 15 SP7
enterprise high performance computing
- Versions du logiciel
- ≥ 15 SP3, < 15 SP7: Concernée (custom)
Mettez à jour vers 15 SP7
enterprise module for dev tools
- Versions du logiciel
- ≥ 15 SP3, < 15 SP7: Concernée (custom)
Mettez à jour vers 15 SP7
enterprise module for package hub
- Versions du logiciel
- ≥ 15 SP5, < 15 SP7: Concernée (custom)
Mettez à jour vers 15 SP7
enterprise server
- Versions du logiciel
- ≥ 12 SP5, < 15 SP7: Concernée (custom)
Mettez à jour vers 15 SP7
enterprise server for sap applications
- Versions du logiciel
- ≥ 15 SP6, < 15 SP7: Concernée (custom)
Mettez à jour vers 15 SP7
suse manager server
- Versions du logiciel
- 4.3: Concernée
Aucun correctif publié
suse manager server lts
- Versions du logiciel
- 4.3: Concernée
Aucun correctif publié
suse manager proxy
- Versions du logiciel
- 4.3: Concernée
Aucun correctif publié
suse manager retail branch server
- Versions du logiciel
- 4.3: Concernée
Aucun correctif publié
opensuse leap
- Versions du logiciel
- 15.6: Concernée
Aucun correctif publié
h2o Debian:12
- Versions du logiciel
- 2.2.5+dfsg2-10
- 2.2.5+dfsg2-11
- 2.2.5+dfsg2-7
- 2.2.5+dfsg2-8
- 2.2.5+dfsg2-8.1
- 2.2.5+dfsg2-8.1~exp1
- 2.2.5+dfsg2-9
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
varnish Debian:12
- Versions du logiciel
- 7.1.1-1.1
- 7.1.1-1.1+deb12u1
- 7.1.1-1.2
- 7.1.1-2+deb12u1
- 7.5.0-1
- 7.5.0-2
- 7.5.0-3
- 7.6.0-1
- 7.6.0-2
- 7.6.1-1
- 7.6.1-2
- 7.7.0-1
- 7.7.0-2
- 7.7.0-3
- 7.7.1-1
- 7.7.2-1
- 7.7.2-2
- 7.7.3-1
- 7.7.3-2
- 7.7.3-3
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
varnish Debian:13
- Versions du logiciel
- 7.7.0-3
- Plages de versions concernées
- ECOSYSTEM: < 7.7.0-3+deb13u1
Mettez à jour vers 7.7.0-3+deb13u1
lighttpd Ubuntu:Pro:14.04:LTS
- Versions du logiciel
- 1.4.31-3ubuntu3
- 1.4.33-1ubuntu1
- 1.4.33-1+nmu2ubuntu1
- 1.4.33-1+nmu2ubuntu2
- 1.4.33-1+nmu2ubuntu2.1
- 1.4.33-1+nmu2ubuntu2.1+esm1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
varnish Ubuntu:14.04:LTS
- Versions du logiciel
- 3.0.4-1ubuntu1
- 3.0.4-1ubuntu2
- 3.0.5-1ubuntu2
- 3.0.5-2
- 3.0.5-2ubuntu0.1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
lighttpd Ubuntu:Pro:16.04:LTS
- Versions du logiciel
- 1.4.35-4ubuntu1
- 1.4.35-4ubuntu2
- 1.4.35-4ubuntu2.1
- 1.4.35-4ubuntu2.1+esm1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
Sources originales
- https://galbarnahum.com/made-you-reset
- https://kb.cert.org/vuls/id/767506
- https://varnish-cache.org/security/VSV00017.html
- https://www.fastlystatus.com/incident/377810
- https://github.com/h2o/h2o/commit/4729b661e3c6654198d2cc62997e1af58bef4b80
- https://support2.windriver.com/index.php?page=security-notices
- https://www.suse.com/support/kb/doc/?id=000021980
- https://gitlab.isc.org/isc-projects/bind9/-/issues/5325
- https://github.com/h2o/h2o/security/advisories/GHSA-mrjm-qq9m-9mjq
- https://github.com/envoyproxy/envoy/issues/40739
- https://github.com/varnish/hitch/issues/397
- https://github.com/Kong/kong/discussions/14731
- https://deepness-lab.org/publications/madeyoureset/
- https://www.imperva.com/blog/madeyoureset-turning-http-2-server-against-itself/
- https://www.kb.cert.org/vuls/id/767506
- http://www.openwall.com/lists/oss-security/2025/09/18/1
- http://www.openwall.com/lists/oss-security/2025/08/13/6
- https://nvd.nist.gov/vuln/detail/CVE-2025-8671