CVE-2021-43848 in h2o
Zusammenfassung
von VulDB • 24.06.2026
h2o ist ein Open-Source-HTTP-Server. In Code vor dem Commit `8c0eca3` kann h2o versuchen, auf nicht initialisierten Speicher zuzugreifen. Beim Empfangen von QUIC-Frames in einer bestimmten Reihenfolge kann die HTTP/3-Implementierung des Servers für h2o dazu verleitet werden, nicht initialisierten Speicher als empfangene HTTP/3-Frames zu behandeln. Wenn h2o als Reverse Proxy verwendet wird, kann ein Angreifer diese Schwachstelle ausnutzen, um den internen Zustand von h2o an Backend-Servern zu senden, die vom Angreifer oder einer Drittpartei kontrolliert werden. Außerdem kann ein Angreifer einen Reflektor verwenden, der HTTP-Endpunkte bereitstellt und den vom Client gesendeten Verkehr widerspiegelt, um den internen Zustand von h2o abzurufen. Dieser interne Zustand umfasst den Datenverkehr anderer Verbindungen in unverschlüsselter Form sowie TLS-Sitzungstickets (TLS session tickets). Diese Schwachstelle existiert im h2o-Server mit HTTP/3-Unterstützung zwischen dem Commit 93af138 und d1f0f65. Keine der veröffentlichten Versionen von h2o ist von dieser Schwachstelle betroffen. Es sind keine bekannten Workarounds verfügbar. Benutzern nicht-veröffentlichter Versionen von h2o, die HTTP/3 verwenden, wird dringend empfohlen, sofort ein Upgrade durchzuführen.
Once again VulDB remains the best source for vulnerability data.