CVE-2023-45802
Apache HTTP Server: la memoria del flujo HTTP/2 no se reutiliza de inmediato tras RST
- Publicado
- 23 oct 2023
- Actualizado
- 14 oct 2024
- Asignación de CNA
- apache
- Evidencia observada
- 14 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:HBajo · próximos 30 días
- Percentil
- 86,8 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Cuando un cliente restablecía una secuencia HTTP/2 (trama RST), había una ventana de tiempo en la que los recursos de memoria de la solicitud no se recuperaban inmediatamente. En cambio, la desasignación se aplazó hasta el cierre de la conexión. Un cliente podría enviar nuevas solicitudes y reinicios, manteniendo la conexión ocupada y abierta y provocando que la huella de memoria siga creciendo. Al cerrar la conexión, se recuperaron todos los recursos, pero el proceso podría quedarse sin memoria antes de eso. El periodista descubrió esto durante la prueba de CVE-2023-44487 (HTTP/2 Rapid Reset Exploit) con su propio cliente de prueba. Durante el uso "normal" de HTTP/2, la probabilidad de encontrar este error es muy baja. La memoria guardada no se notará antes de que la conexión se cierre o se agote el tiempo de espera. Se recomienda a los usuarios actualizar a la versión 2.4.58, que soluciona el problema.
Fuentes
1- CVE-2023-45802Exploit
CVE-2023-45802 - Agotamiento de memoria HTTP/2 de Apache DoS Versiones de Apache: 2.4.17 hasta 2.4.57 Objetivo: Apache/2.4.52 (Ubuntu) - VULNERABLE MehranTurk (M.T) ADVERTENCIA: ¡Solo para pruebas autorizadas en entorno de LABORATORIO!
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.