CVE-2021-43848 in h2o
الملخص
بحسب VulDB • 01/07/2026
h2o هو خادم ويب مفتوح المصدر (HTTP server). في الشيفرة السابقة للالتزام `8c0eca3`، قد يحاول h2o الوصول إلى ذاكرة غير مهيأة. عند استقبال إطارات QUIC بترتيب معين، يمكن أن يسيء تنفيذ الخادم الجانبي لـ HTTP/3 الخاص بـ h2و تفسير الذاكرة غير المهيأة على أنها إطارات HTTP/3 تم استلامها. عندما يُستخدم h2o كوكيل عكسي (reverse proxy)، يمكن لمهاجم إساءة استخدام هذا الثغرة لإرسال الحالة الداخلية لـ h2o إلى خوادم الخلفية التي يسيطر عليها المهاجم أو أطراف ثالثة. بالإضافة إلى ذلك، إذا كان هناك نقطة نهاية HTTP تعكس حركة المرور المرسلة من العميل، فيمكن للمهاجم استخدام هذه الآلية العاكسة للحصول على الحالة الداخلية لـ h2o. تتضمن هذه الحالة الداخلية حركة مرور الاتصالات الأخرى بصيغة غير مشفرة وتذاكر جلسات TLS (TLS session tickets). توجد هذه الثغرة في خادم h2o الذي يدعم HTTP/3، بين الالتزامين 93af138 و d1f0f65. لا تتأثر أي من الإصدارات الصادرة من h2o بهذه الثغرة. ولا توجد حلول بديلة معروفة. يُنصح مستخدمو الإصدارات غير الصادرة من h2o التي تستخدم HTTP/3 بالترقية فوراً.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.