CVE-2021-43848

Резюме

h2o — это HTTP-сервер с открытым исходным кодом. В коде до коммита `8c0eca3` h2o может попытаться обратиться к неинициализированной памяти. При получении QUIC-кадров в определённом порядке серверная реализация HTTP/3 в h2o может быть введена в заблуждение и обрабатывать неинициализированную память как полученные HTTP/3-кадры. Когда h2o используется в качестве обратного прокси, злоумышленник может воспользоваться этой уязвимостью, чтобы отправлять внутреннее состояние h2o на серверы, контролируемые злоумышленником или третьей стороной. Кроме того, если существует HTTP-эндпоинт, отражающий трафик, отправленный клиентом, злоумышленник может использовать этот отражатель для получения внутреннего состояния h2o. Это внутреннее состояние включает трафик других соединений в незашифрованном виде, а также TLS-сессионные билеты. Данная уязвимость существует в сервере h2o с поддержкой HTTP/3 между коммитами 93af138 и d1f0f65. Ни одна из выпущенных версий h2o не затронута этой уязвимостью. Известных обходных путей нет. Пользователям невыпущенных версий h2o, использующим HTTP/3, рекомендуется немедленно выполнить обновление.

• hui2ochkoPoC

  Эксплойт proof-of-concept для CVE-2021-43848, демонстрирующий уязвимость и предоставляющий рабочий эксплойт для тестирования безопасности и исследований.