CVE-2019-9515 in HTTP2

摘要

由 VulDB • 2026-07-10

某些 HTTP/2 实现在处理设置洪水（settings flood）时存在漏洞，可能导致拒绝服务。攻击者向对等端发送一系列 SETTINGS 帧。由于 RFC 要求对等方针对每个 SETTINGS 帧回复一个确认帧，因此空白的 SETTINGS 帧在行为上几乎等同于 PING 请求。根据数据排队的效率不同，这可能会消耗过多的 CPU、内存或两者兼有。

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

• 负责: CERT/CC
• 预定: 2019-03-01
• 管理: 已接受
• 条目: VDB-140006
• CPE: 准备好
• CWE: CWE-400 (已确认)
• CVSS: 7.5 (NVD)
• EPSS: 0.87399
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2019-9515
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2019-9515
• CVE Details: https://www.cvedetails.com/cve/CVE-2019-9515/