HTTP/2 Rapid Reset: CVE-2023-44487

Ein Denial-of-Service-Angriff auf das HTTP/2-Protokoll, der nginx, Node.js, Go, Tomcat und viele mehr trifft.

In der NVD veröffentlicht am 10.10.2023

CVE-2023-44487

CVSS 3.1: 7,5 (hoch) wird aktiv ausgenutzt

Seit dem 10.10.2023 im CISA-Katalog aktiv ausgenutzter Lücken

Ausnutzungswahrscheinlichkeit (EPSS, 01.11.2026): 99,999 %, Perzentil 99,998

Was ist HTTP/2 Rapid Reset?

HTTP/2 Rapid Reset ist ein Denial-of-Service-Angriff auf das HTTP/2-Protokoll selbst. Ein Client bricht Requests sofort nach dem Öffnen wieder ab, dadurch werden in kurzer Folge sehr viele Streams zurückgesetzt und der Server verbraucht seine Ressourcen. Laut NVD wurde das von August bis Oktober 2023 aktiv ausgenutzt.

Die NVD bewertet sie mit CVSS 7.5, und CISA führt sie seit dem 10. Oktober 2023 als aktiv ausgenutzt. Weil die Lücke im Protokoll liegt, betrifft sie viele HTTP/2-Implementierungen. In Debian 12 ist das nginx-Paket weiterhin als nicht behoben markiert.

Betroffene und behobene Versionen

nginx

Betroffen: 1.9.5 - 1.25.2

Keine behobene Version in den NVD-Daten

nghttp2

Betroffen: < 1.57.0

Behoben in 1.57.0

Node.js 20

Betroffen: 20.0.0 - 20.8.0

Behoben in 20.8.1

Node.js 18

Betroffen: 18.0.0 - 18.18.1

Behoben in 18.18.2

Go 1.21

Betroffen: 1.21.0 - 1.21.2

Behoben in 1.21.3

Go

Betroffen: < 1.20.10

Behoben in 1.20.10

Apache Tomcat 10.1

Betroffen: 10.1.0 - 10.1.13

Keine behobene Version in den NVD-Daten

Apache Tomcat 9

Betroffen: 9.0.0 - 9.0.80

Keine behobene Version in den NVD-Daten

Netty

Betroffen: < 4.1.100

Behoben in 4.1.100

Alle Zweige und Lücken von nginx

Stand in Debian und Ubuntu

Debian 12: nghttp2

Behoben

Behoben ab Paketversion 1.52.0-1+deb12u1

Debian 12: nginx

Nicht behoben

Debian 13: nghttp2

Behoben

Behoben ab Paketversion 1.57.0-1

Debian 13: nginx

Behoben

Behoben ab Paketversion 1.24.0-2

Ubuntu 20.04 LTS: nghttp2

Behoben

Behoben ab Paketversion 1.40.0-1ubuntu0.2

Ubuntu 22.04 LTS: nghttp2

Behoben

Behoben ab Paketversion 1.43.0-1ubuntu0.1

Ubuntu 22.04 LTS: tomcat9

Behoben

Behoben ab Paketversion 9.0.58-1ubuntu0.2

Was tun?

Aktualisiere den HTTP/2-Server oder die Bibliothek, die du nutzt, auf eine behobene Version aus der Liste, oder spiel das Update deiner Distribution ein.

Erseni Patch meldet dir, wenn eine neue Lücke genau deine Version betrifft und wenn dein Release-Zweig keinen Support mehr bekommt. Trag das Programm oder Paket mit deiner Version ein, dann prüfen wir sie sofort.

nginx beobachten

Node.js beobachten

Go beobachten

Apache Tomcat beobachten

nghttp2 (Debian 12) beobachten

Du hast schon ein Konto? Anmelden und nginx eintragen