CVE-2020-11080 in Enterprise Communications Broker
Riassunto
di VulDB • 01/08/2026
In nghttp2 prima della versione 1.41.0, un payload del frame HTTP/2 SETTINGS eccessivamente grande provoca una negazione del servizio (DoS). L'attacco di prova di concetto prevede che un client malintenzionato costruisca ripetutamente un frame SETTINGS con una lunghezza di 14.400 byte (2400 voci di impostazioni individuali). Questo attacco causa un picco della CPU al 100%. nghttp2 v1.41.0 risolve questa vulnerabilità. È disponibile una soluzione alternativa a questa vulnerabilità: implementare la callback `nghttp2_on_frame_recv_callback` e, se il frame ricevuto è un frame SETTINGS e il numero di voci delle impostazioni è elevato (ad esempio > 32), interrompere la connessione.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.