CVE-2026-105297
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Podsumowanie
Przed wersją 0.8.1 serwer HTTP/2 firmy Pingora korzystał z domyślnych limitów skrzynki h2, chyba że aplikacja ustawiła własny rozmiar zdekodowanej listy nagłówków wynoszący 16 MiB i brak limitu równoczesnych strumieni. Zdalny, nieuwierzytelniony klient może wysłać 1-bajtowe odniesienia HPACK do prawie pustego nagłówka, co powoduje, że serwer przydziela setki tysięcy pól nagłówka na strumień w nieograniczonej liczbie strumieni w jednym połączeniu i używa kontroli przepływu HTTP/2, aby utrzymać te strumienie otwarte. Może to wyczerpać pamięć i pogorszyć lub zakończyć proces Pingora.
Wpływ
Zdalna, nieuwierzytelniona odmowa usługi wobec dowolnej usługi Pingora, która kończy HTTP/2 (h2 lub h2c) bez jawnego ustawienia max_header_list_size i max_concurrent_streams. Reporter pokazał, że pojedyncze połączenie może spowodować, że proces Pingora z limitem pamięci 2 GiB zostanie zabity przez OOM.
Należy pamiętać, że nie miało to wpływu na klientów Cloudflare CDN, ponieważ wewnętrzne usługi Pingora w Cloudflare nie mają klientów HTTP/2.
Łagodzenie:
*
Uaktualnij do wersji pingora 0.8.1 lub nowszej (poprawka: https://github.com/cloudflare/pingora/commit/d193c8d49b8b7c1c1c1ede93183759caa4f6906bbd ). Gdy nie podano żadnych opcji H2Options, Pingora ogłasza teraz i wymusza limit 64 KiB zdekodowanych list nagłówków i maksymalnie 100 jednoczesnych strumieni na połączenie.
*
Aplikacje, które dostarczają własne opcje H2Options, nie są objęte tymi ustawieniami domyślnymi i muszą jawnie ustawić max_header_list_size i max_concurrent_streams (działa to również w wersjach wcześniejszych niż 0.8.1) lub, w wersji 0.8.1 i nowszych, zacząć od pingora_core::protocols::http::v2::server::default_h2_options(). H2Options::default() nie obejmuje tych ograniczeń.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org