CVE-2021-43848

Resumo

h2o é um servidor HTTP de código aberto. No código anterior ao commit `8c0eca3`, o h2o pode tentar acessar memória não inicializada. Ao receber quadros QUIC em determinada ordem, a implementação do lado do servidor HTTP/3 do h2o pode ser induzida a tratar memória não inicializada como quadros HTTP/3 que foram recebidos. Quando o h2o é usado como proxy reverso, um atacante pode abusar dessa vulnerabilidade para enviar o estado interno do h2o para servidores de backend controlados pelo atacante ou por terceiros. Além disso, se houver um endpoint HTTP que reflita o tráfego enviado pelo cliente, um atacante pode usar esse refletor para obter o estado interno do h2o. Esse estado interno inclui tráfego de outras conexões em forma não criptografada e tickets de sessão TLS. Essa vulnerabilidade existe no servidor h2o com suporte a HTTP/3, entre os commits 93af138 e d1f0f65. Nenhuma das versões lançadas do h2o é afetada por essa vulnerabilidade. Não há soluções alternativas conhecidas. Usuários de versões não lançadas do h2o que utilizam HTTP/3 são aconselhados a atualizar imediatamente.

• hui2ochkoPoC

  Prova de conceito de exploit para CVE-2021-43848, demonstrando a vulnerabilidade e fornecendo um exploit funcional para testes de segurança e pesquisa.