CVE-2021-43848

总结

h2o 是一个开源 HTTP 服务器。在 `8c0eca3` 提交之前的代码中，h2o 可能会尝试访问未初始化的内存。当以特定顺序接收 QUIC 帧时，h2o 的 HTTP/3 服务端实现可能会被误导，将未初始化的内存视为已接收的 HTTP/3 帧。当 h2o 被用作反向代理时，攻击者可以利用此漏洞将 h2o 的内部状态发送到由攻击者或第三方控制的后端服务器。此外，如果存在一个能够反射客户端发送流量的 HTTP 端点，攻击者也可以利用该反射器获取 h2o 的内部状态。该内部状态包括其他连接未加密形式的流量以及 TLS 会话票据。此漏洞存在于支持 HTTP/3 的 h2o 服务器中，影响范围为 `93af138` 提交至 `d1f0f65` 提交之间。已发布的 h2o 版本均不受此漏洞影响。目前没有已知的变通方案。建议使用未发布版本且启用 HTTP/3 的 h2o 用户立即升级。

• hui2ochkoPoC

  CVE-2021-43848 的概念验证漏洞利用程序，演示该漏洞并提供可用于安全测试和研究的有效利用代码。