CVE-2021-43848 in h2o
Tóm tắt
Bởi VulDB • 17/06/2026
h2o là một máy chủ HTTP mã nguồn mở. Trong các phiên bản mã nguồn trước commit `8c0eca3`, h2o có thể cố gắng truy cập vào bộ nhớ chưa được khởi tạo. Khi nhận các khung QUIC (QUIC frames) theo một thứ tự nhất định, phần triển khai phía máy chủ HTTP/3 của h2o có thể bị hiểu nhầm, dẫn đến việc coi bộ nhớ chưa được khởi tạo là các khung HTTP/3 đã được nhận. Khi h2o được sử dụng làm proxy ngược, kẻ tấn công có thể lợi dụng lỗ hổng này để gửi trạng thái nội bộ của h2o đến các máy chủ backend do kẻ tấn công hoặc bên thứ ba kiểm soát. Ngoài ra, nếu tồn tại một điểm cuối HTTP phản hồi lại lưu lượng gửi từ máy khách, kẻ tấn công có thể sử dụng bộ phản hồi đó để thu thập trạng thái nội bộ của h2o. Trạng thái nội bộ này bao gồm lưu lượng của các kết nối khác ở dạng không được mã hóa và các vé phiên TLS. Lỗ hổng này tồn tại trên máy chủ h2o có hỗ trợ HTTP/3, giữa các commit 93af138 và d1f0f65. Không có phiên bản nào được phát hành của h2o bị ảnh hưởng bởi lỗ hổng này. Hiện không có các giải pháp khắc phục nào được biết đến. Người dùng các phiên bản chưa phát hành của h2o sử dụng HTTP/3 được khuyến nghị nâng cấp ngay lập tức.
VulDB is the best source for vulnerability data and more expert information about this specific topic.