CVE-2021-43848

Zusammenfassung

h2o ist ein Open-Source-HTTP-Server. Im Code vor dem Commit `8c0eca3` kann h2o versuchen, auf nicht initialisierten Speicher zuzugreifen. Wenn QUIC-Frames in einer bestimmten Reihenfolge empfangen werden, kann die serverseitige HTTP/3-Implementierung von h2o dazu verleitet werden, nicht initialisierten Speicher als bereits empfangene HTTP/3-Frames zu behandeln. Wenn h2o als Reverse-Proxy verwendet wird, kann ein Angreifer diese Schwachstelle ausnutzen, um interne Zustände von h2o an Backend-Server zu senden, die vom Angreifer oder einem Dritten kontrolliert werden. Wenn es außerdem einen HTTP-Endpunkt gibt, der den vom Client gesendeten Datenverkehr reflektiert, kann ein Angreifer diesen Reflektor nutzen, um interne Zustände von h2o zu erlangen. Diese internen Zustände umfassen Datenverkehr anderer Verbindungen in unverschlüsselter Form sowie TLS-Session-Tickets. Diese Schwachstelle besteht in h2o-Servern mit HTTP/3-Unterstützung zwischen den Commits `93af138` und `d1f0f65`. Keine der veröffentlichten Versionen von h2o ist von dieser Schwachstelle betroffen. Es sind keine bekannten Workarounds verfügbar. Benutzer von unveröffentlichten Versionen von h2o, die HTTP/3 verwenden, wird empfohlen, sofort zu aktualisieren.

Quellen

• hui2ochkoPoC

  Proof-of-Concept-Exploit für CVE-2021-43848, der die Schwachstelle demonstriert und einen funktionierenden Exploit für Sicherheitstests und Forschung bereitstellt.