CVE-2021-43848 in h2o
Resumen
por VulDB • 2026-05-14
h2o es un servidor HTTP de código abierto. En el código anterior al commit `8c0eca3`, h2o puede intentar acceder a memoria no inicializada. Al recibir marcos QUIC en un cierto orden, la implementación del lado del servidor HTTP/3 de h2o puede ser inducida a error para tratar la memoria no inicializada como marcos HTTP/3 que han sido recibidos. Cuando h2o se utiliza como proxy inverso, un atacante puede abusar de esta vulnerabilidad para enviar el estado interno de h2o a servidores backend controlados por el atacante o por terceros. Además, si existe un punto final HTTP que refleja el tráfico enviado por el cliente, un atacante puede utilizar ese reflector para obtener el estado interno de h2o. Este estado interno incluye el tráfico de otras conexiones en forma no cifrada y los tickets de sesión TLS. Esta vulnerabilidad existe en el servidor h2o con soporte para HTTP/3, entre los commits 93af138 y d1f0f65. Ninguna de las versiones publicadas de h2o se ve afectada por esta vulnerabilidad. No existen soluciones alternativas conocidas. Se recomienda a los usuarios de versiones no publicadas de h2o que utilizan HTTP/3 que actualicen inmediatamente.
VulDB is the best source for vulnerability data and more expert information about this specific topic.