Cuál es el problema
El protocolo HTTP/2 permite un consumo excesivo de recursos del servidor cuando las cancelaciones de solicitudes restablecen muchos flujos rápidamente. Un atacante puede explotar esta vulnerabilidad para causar una denegación de servicio.
A quién afecta
Este problema afecta a las versiones de nginx desde la 1.9.5 hasta la 1.25.2.
Qué hacer
Aplique las mitigaciones según las instrucciones del fabricante o siga la guía de la nube correspondiente. Si no hay mitigaciones disponibles, deje de usar el producto.
Descripción original
The HTTP/2 protocol allows a denial of service (server resource consumption) because request cancellation can reset many streams quickly, as exploited in the wild in August through October 2023.
Explotación conocida (CISA KEV)
- Añadida a KEV
- 2023-10-10
- Plazo de corrección (Gobierno federal de EE. UU.)
- 2023-10-31
- Uso en ransomware
- Unknown
- Acción requerida
- Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Software afectado
- nginx ≥ 1.9.5 ≤ 1.25.2 coincidencia exacta
- Caddy *< 2.7.5 Corregido en: 2.7.5 coincidencia por repositorio o paquete
- Traefik < 2.10.5= 3.0.0 Corregido en: 2.10.5 coincidencia exacta
- Tomcat ≥ 9.0.0 ≤ 9.0.80≥ 8.5.0 ≤ 8.5.93≥ 10.1.0 ≤ 10.1.13= 11.0.0 coincidencia exacta
- Jenkins ≤ 2.414.2≤ 2.427 coincidencia exacta
Detalles
- Publicación
- 2023-10-10
- Última modificación
- 2026-08-11
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- CWE
- CWE-400
- EPSS (probabilidad de explotación en 30 días)
- 100.00% (percentil 100)
Referencias
- cve.org/CVE-2023-44487
- nvd.nist.gov/vuln/detail/CVE-2023-44487
- www.openwall.com/lists/oss-security/2023/10/10/6
- www.openwall.com/lists/oss-security/2023/10/10/7
- www.openwall.com/lists/oss-security/2023/10/13/4
- www.openwall.com/lists/oss-security/2023/10/13/9
- www.openwall.com/lists/oss-security/2023/10/18/4
- www.openwall.com/lists/oss-security/2023/10/18/8
- www.openwall.com/lists/oss-security/2023/10/19/6
- www.openwall.com/lists/oss-security/2023/10/20/8
- access.redhat.com/security/cve/cve-2023-44487
- arstechnica.com/security/2023/10/how-ddosers-used-the-http-2-protocol-to-deliver-attacks-o...
- aws.amazon.com/security/security-bulletins/AWS-2023-011/
- blog.cloudflare.com/technical-breakdown-http2-rapid-reset-ddos-attack/
Controla estas versiones en tus propios servidores
InfraGuard recopila las versiones de software instaladas en cada servidor y señala las que tienen vulnerabilidades conocidas. Autoalojado: nada sale de tu red.
Este producto utiliza datos de la API del NVD, pero no está avalado ni certificado por el NVD. CVE® es una marca registrada de The MITRE Corporation; los registros CVE se utilizan conforme a los Términos de uso del CVE Program.