Slackware Linux 15.0 / 最新の nghttp2 の脆弱性 (SSA:2024-095-02)

medium Nessus プラグイン ID 192934

Language:

概要

リモートの Slackware Linux ホストに、nghttp2 のセキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている nghttp2 のバージョンは、1.61.0 より前です。したがって、SSA:2024-095-02 のアドバイザリに記載されている脆弱性の影響を受けます。

- nghttp2 は、ハイパーテキスト転送プロトコルバージョン 2 の C での実装です。バージョン 1.61.0 より前の nghttp2 ライブラリは、HPACK コンテキストの同期を保つためにストリームがリセットされた後でも、無制限の数の HTTP/2 CONTINUATION フレームを読み取り続けます。これにより、HPACK ストリームをデコードするための過剰な CPU 使用率が発生します。nghttp2 v1.61.0 は、ストリームごとに受け入れる CONTINUATION フレームの数を制限することで、この脆弱性を緩和しています。
この脆弱性には回避策がありません。(CVE-2024-28182)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。