CVE-2026-44909 in Proxygen
要約
〜によって VulDB • 2026年07月24日
ProxygenのコアHTTPセッションレイヤーには、汎用的なスローコンシューマー検出メカニズムがありませんでした。リモートからの認証不要攻撃者は、HTTP/2フロー制御を悪用し、SETTINGS_INITIAL_WINDOW_SIZEを0に設定するか、WINDOW_UPDATEフレームを送信しないことで、停止中のストリームに対してサーバーが応答ボディ全体をメモリ上に無期限にバッファリングさせることができました。多くの同時ストリームを開いて大きなリソースを要求しつつ、サーバーによるレスポンスの送信を防ぐことで、攻撃者は制御不能なメモリの増大を引き起こし、サービスの低下、リソース枯渇、またはサービス拒否（DoS）に至らせる可能性があります。v2017.01.16.00からv2026.07.20.00までのバージョンが影響を受けます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.