CVE-2021-43848

概要

h2o はオープンソースのHTTPサーバーです。`8c0eca3` コミットより前のコードでは、h2o が未初期化メモリにアクセスしようとする可能性があります。特定の順序でQUICフレームを受信した場合、h2o のHTTP/3サーバーサイド実装は、受信済みのHTTP/3フレームとして未初期化メモリを扱うよう誤誘導される可能性があります。h2o がリバースプロキシとして使用されている場合、攻撃者はこの脆弱性を悪用して、h2o の内部状態を攻撃者または第三者が管理するバックエンドサーバーに送信することができます。また、クライアントから送信されたトラフィックを反映するHTTPエンドポイントが存在する場合、攻撃者はそのリフレクタを使用して h2o の内部状態を取得することができます。この内部状態には、暗号化されていない形式の他の接続のトラフィックやTLSセッションチケットが含まれます。この脆弱性は、HTTP/3をサポートする h2o サーバーにおいて、`93af138` コミットから `d1f0f65` コミットの間に存在します。リリース済みの h2o のバージョンは、この脆弱性の影響を受けません。既知の回避策はありません。HTTP/3を使用する未リリース版の h2o のユーザーは、直ちにアップグレードすることをお勧めします。

• hui2ochkoPoC

  CVE-2021-43848の概念実証エクスプロイト。この脆弱性を実証し、セキュリティテストおよび研究用の動作するエクスプロイトを提供します。