CVE-2021-43848

Résumé

h2o est un serveur HTTP open source. Dans le code antérieur au commit `8c0eca3`, h2o peut tenter d'accéder à de la mémoire non initialisée. Lors de la réception de trames QUIC dans un certain ordre, l'implémentation côté serveur HTTP/3 de h2o peut être induite en erreur et traiter de la mémoire non initialisée comme des trames HTTP/3 ayant été reçues. Lorsque h2o est utilisé comme proxy inverse, un attaquant peut abuser de cette vulnérabilité pour envoyer l'état interne de h2o à des serveurs backend contrôlés par l'attaquant ou par un tiers. De plus, s'il existe un point de terminaison HTTP qui reflète le trafic envoyé par le client, un attaquant peut utiliser ce réflecteur pour obtenir l'état interne de h2o. Cet état interne inclut le trafic d'autres connexions sous forme non chiffrée ainsi que les tickets de session TLS. Cette vulnérabilité existe dans le serveur h2o avec prise en charge de HTTP/3, entre les commits 93af138 et d1f0f65. Aucune des versions publiées de h2o n'est affectée par cette vulnérabilité. Il n'existe aucune solution de contournement connue. Les utilisateurs de versions non publiées de h2o utilisant HTTP/3 sont invités à mettre à jour immédiatement.

• hui2ochkoPoC

  Preuve de concept pour CVE-2021-43848, démontrant la vulnérabilité et fournissant un exploit fonctionnel pour les tests de sécurité et la recherche.