Quel est le problème
Le protocole HTTP/2 permet une consommation excessive de ressources serveur lorsque les annulations de requêtes réinitialisent rapidement de nombreux flux. Un attaquant peut exploiter cette vulnérabilité pour provoquer un refus de service.
Qui est concerné
Ce problème affecte les versions de nginx allant de 1.9.5 à 1.25.2.
Que faire
Appliquez les mesures d'atténuation selon les instructions du fournisseur ou suivez les directives cloud applicables. Si aucune mesure d'atténuation n'est disponible, cessez d'utiliser le produit.
Description d’origine
The HTTP/2 protocol allows a denial of service (server resource consumption) because request cancellation can reset many streams quickly, as exploited in the wild in August through October 2023.
Exploitation connue (CISA KEV)
- Ajoutée au KEV
- 2023-10-10
- Échéance de correction (administration fédérale américaine)
- 2023-10-31
- Utilisation par des rançongiciels
- Unknown
- Action requise
- Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Logiciels concernés
- nginx ≥ 1.9.5 ≤ 1.25.2 correspondance exacte
- Caddy *< 2.7.5 Corrigé dans: 2.7.5 correspondance par dépôt ou paquet
- Traefik < 2.10.5= 3.0.0 Corrigé dans: 2.10.5 correspondance exacte
- Tomcat ≥ 9.0.0 ≤ 9.0.80≥ 8.5.0 ≤ 8.5.93≥ 10.1.0 ≤ 10.1.13= 11.0.0 correspondance exacte
- Jenkins ≤ 2.414.2≤ 2.427 correspondance exacte
Détails
- Publication
- 2023-10-10
- Dernière modification
- 2026-08-11
- Vecteur CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- CWE
- CWE-400
- EPSS (probabilité d’exploitation à 30 jours)
- 100.00% (percentile 100)
Références
- cve.org/CVE-2023-44487
- nvd.nist.gov/vuln/detail/CVE-2023-44487
- www.openwall.com/lists/oss-security/2023/10/10/6
- www.openwall.com/lists/oss-security/2023/10/10/7
- www.openwall.com/lists/oss-security/2023/10/13/4
- www.openwall.com/lists/oss-security/2023/10/13/9
- www.openwall.com/lists/oss-security/2023/10/18/4
- www.openwall.com/lists/oss-security/2023/10/18/8
- www.openwall.com/lists/oss-security/2023/10/19/6
- www.openwall.com/lists/oss-security/2023/10/20/8
- access.redhat.com/security/cve/cve-2023-44487
- arstechnica.com/security/2023/10/how-ddosers-used-the-http-2-protocol-to-deliver-attacks-o...
- aws.amazon.com/security/security-bulletins/AWS-2023-011/
- blog.cloudflare.com/technical-breakdown-http2-rapid-reset-ddos-attack/
Suivez ces versions sur vos propres serveurs
InfraGuard collecte les versions logicielles installées sur chaque serveur et signale celles qui présentent des vulnérabilités connues. Auto-hébergé : rien ne quitte votre réseau.
Ce produit utilise des données de l’API du NVD, mais n’est ni approuvé ni certifié par le NVD. CVE® est une marque déposée de The MITRE Corporation ; les enregistrements CVE sont utilisés conformément aux conditions d’utilisation du CVE Program.