CivetWebのHTTP/2に脆弱性、修正版は未確認
Summary
組み込み用Webサーバー「CivetWeb」の1.16以前でHTTP/2を有効にしていると、認証なしの遠隔からアクセス制御の判定を狂わされたり、サーバーを落とされたりするおそれがあります。該当するかを確認し、HTTP/2を使っていなければ無効にしてください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
組み込み用Webサーバー「CivetWeb」の1.16以前でHTTP/2を有効にしていると、認証なしの遠隔からアクセス制御の判定を狂わされたり、サーバーを落とされたりするおそれがあります。該当するかを確認し、HTTP/2を使っていなければ無効にしてください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| civetweb | civetweb |
≤ 1.16 |
— |
Original description The description as published by the source.
CivetWeb through 1.16, when built with USE_HTTP2 and enable_http2 on, contains a use-after-free vulnerability in handle_http2() that retains freed :method and :path pointers. Unauthenticated remote attackers can send a later HEADERS frame omitting these pseudo-headers to influence request method or path seen by access rules, or crash the server.
Source: CVE.org (CVE Program・cvelistV5) NVD