何が問題か
HTTP/2 プロトコルは、リクエストのキャンセルによって多くのストリームが急速にリセットされる際に、サーバーリソースの過剰な消費を許容します。攻撃者がこの脆弱性を悪用すると、サービス拒否（DoS）を引き起こす可能性があります。
影響を受ける対象
この問題は 1.9.5 から 1.25.2 までの nginx バージョンに影響します。
対処方法
ベンダーの指示に従って緩和策を適用するか、該当するクラウドのガイダンスに従ってください。緩和策が利用できない場合は、製品の使用を中止してください。
原文の説明
The HTTP/2 protocol allows a denial of service (server resource consumption) because request cancellation can reset many streams quickly, as exploited in the wild in August through October 2023.
悪用確認済み（CISA KEV）
- KEV 追加日
- 2023-10-10
- 対応期限（米連邦機関）
- 2023-10-31
- ランサムウェアでの使用
- Unknown
- 必要な対応
- Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
影響を受けるソフトウェア
詳細
- 公開日
- 2023-10-10
- 最終更新
- 2026-08-11
- CVSS ベクター
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- CWE
- CWE-400
- EPSS（30日以内の悪用確率）
- 100.00% (パーセンタイル 100)
参考資料
- cve.org/CVE-2023-44487
- nvd.nist.gov/vuln/detail/CVE-2023-44487
- www.openwall.com/lists/oss-security/2023/10/10/6
- www.openwall.com/lists/oss-security/2023/10/10/7
- www.openwall.com/lists/oss-security/2023/10/13/4
- www.openwall.com/lists/oss-security/2023/10/13/9
- www.openwall.com/lists/oss-security/2023/10/18/4
- www.openwall.com/lists/oss-security/2023/10/18/8
- www.openwall.com/lists/oss-security/2023/10/19/6
- www.openwall.com/lists/oss-security/2023/10/20/8
- access.redhat.com/security/cve/cve-2023-44487
- arstechnica.com/security/2023/10/how-ddosers-used-the-http-2-protocol-to-deliver-attacks-o...
- aws.amazon.com/security/security-bulletins/AWS-2023-011/
- blog.cloudflare.com/technical-breakdown-http2-rapid-reset-ddos-attack/
本製品は NVD API のデータを使用していますが、NVD による承認または認定を受けたものではありません。CVE® は The MITRE Corporation の登録商標です。CVE レコードは CVE Program の利用規約に基づいて使用しています。