JVNVU#99012560
複数のHTTP/2実装におけるCONTINUATIONフレームの取り扱い不備

複数のHTTP/2実装において、CONTINUATIONフレームの取り扱い不備によりサービス運用妨害（DoS）攻撃が可能となる問題が指摘されています。

本件の公表時点では、影響を受ける製品として以下が挙げられています。

• Node.js HTTP/2 server（CVE-2024-27983）
• Envoy HTTP/2 codec（CVE-2024-27919、CVE-2024-30255）
• Tempesta FW（CVE-2024-2758）
• amphp/http（CVE-2024-2653）
• Go net/http および net/http2（CVE-2023-45288）
• nghttp2（CVE-2024-28182）
• Apache httpd（CVE-2024-27316）
• Apache Traffic Server（CVE-2024-31309）

HTTP/2プロトコルでは、リクエストやレスポンスを複数の「フレーム」からなる「ストリーム」としてやりとりします。リクエストやレスポンスに含まれるヘッダ情報はHEADERSフレームで送ることとされていますが、ヘッダ情報が一つのHEADERSフレームに収まらない場合には、後続の情報をCONTINUATIONフレームを使って送ります。ヘッダ情報を含む最後のフレームにはEND_HEADERSフラグを立てておくことで、ヘッダ情報の最後であることを示します。

複数のHTTP/2実装に対して、CONTINUATIONフレームの取り扱い不備を悪用することでサービス運用妨害（DoS）攻撃が可能となる問題が報告されています。
実装によって問題の内容は異なりますが、報告者の記事では、CONTINUATIONフレームを送り続けることによるCPU処理負荷の増大やメモリ枯渇、アサーションエラーを発生させることによる異常終了、などの例が説明されています。

不正なパケットを処理することで、システムが運用妨害（DoS）状態にされる可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。