Heimdall Security Logo

CVE-2023-45288

Vulnérabilité élevée dans net/http (Go standard library)

CVSS 7.5 · Élevée
EPSS 92.0%
Go standard library•net/http•Versions : <1.21.9, <1.22.2, <0.23.0, 0, 1.22.0-0

Description

An attacker may cause an HTTP/2 endpoint to read arbitrary amounts of header data by sending an excessive number of CONTINUATION frames. Maintaining HPACK state requires parsing and processing all HEADERS and CONTINUATION frames on a connection. When a request's headers exceed MaxHeaderBytes, no memory is allocated to store the excess headers, but they are still parsed. This permits an attacker to cause an HTTP/2 endpoint to read arbitrary amounts of header data, all associated with a request which is going to be rejected. These headers can include Huffman-encoded data which is significantly more expensive for the receiver to decode than for an attacker to send. The fix sets a limit on the amount of excess header frames we will process before closing a connection.

Gravité et risque d'exploitation

CVE-2023-45288 obtient un score CVSS de 7.5/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 91.97 %, ce qui la place devant 99.8 % des CVE référencées.

Que faire ?

  • Vérifiez si net/http (versions <1.21.9, <1.22.2, <0.23.0, 0, 1.22.0-0) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE