Wysoki Oczekuje na analizę

CVE-2026-87045

opublikowano: 06.11.2026, 16:17

modyfikacja: 06.11.2026, 16:17

Ocena CVSS

7.5

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Serwer HTTP/2 w subsys/net/lib/http/http_server_http2.c czyści powiązanie strumienia połączenia na początku każdej ramki. handle_http_frame_header() wykonała klient->prąd_prądowy = NULL bezwarunkowo, ale ramka KONTYNUACJA nie otwiera nowego strumienia, a funkcja enter_http_frame_continuation_state() nigdy nie wiązała go ponownie, więc reszta bloku nagłówka została przetworzona przy nieustawionym kliencie->prąd_prądowy. Następnie dwie ścieżki zapisują wskaźnik NULL. Na żądanie niezarejestrowanego zasobu lub metody, której dopasowany zasób nie obsługuje, odpowiada funkcja send_http2_404() lub send_http2_405(), a obie metody wywołują funkcję send_headers_frame(), która bezwarunkowo ustawia klient->prąd_prądowy->headers_sent = true. POST, PUT lub PATCH do zarejestrowanego zasobu dynamicznego docierają do handle_http2_dynamic_resource(), który w przeciwieństwie do swoich rodzeństwa (handle_http2_static_resource(), dynamic_get_del_opts_req_v2(), dynamic_post_put_req_v2()) nie miał osłony klient->prąd_prądowy == NULL i zapisuje poprzez wskaźnik za pomocą klient->prąd_prąd->prąd_detail = dynamic_detail.

Każdy element równorzędny, który może połączyć się z serwerem, może to wywołać bez uwierzytelniania lub wcześniejszego stanu. Wystarczy pojedyncza bezpański ramka CONTINUATION z ustawionym END_HEADERS, wysłana zaraz po przedmowie klienta i żądająca dowolnej niezarejestrowanej ścieżki, ponieważ nic nie odrzuciło CONTINUATION, której nie otworzyła żadna ramka HEADERS. Prawidłowy podzielony blok nagłówka (ramka HEADERS z wyczyszczonym END_HEADERS, której ładunek kończy się na granicy pola nagłówka, a następnie CONTINUATION z ustawionym END_HEADERS) osiąga ten sam stan. Test wewnątrz drzewa test_http2_post_headers_with_continuation() nie wychwycił tego, ponieważ dzieli środkowe pole bloku nagłówka, co wymaga skrótu handle_incomplete_http_header() utrzymującego powiązanie strumienia.

Rezultatem jest zapis pod ustalonym niskim adresem (małe przesunięcie w strukturze http2_stream_ctx), który powoduje błędy w głównych celach (region pamięci flash/wektorowej na Cortex-M lub pułapka pod wykrywaniem wskaźnika zerowego MPU/MMU), a domyślna procedura obsługi błędów krytycznych zatrzymuje system. Wpływ to nieuwierzytelniona, zdalnie wyzwalana odmowa usługi wobec dowolnego urządzenia, na którym działa serwer HTTP/2: ścieżka 404 nie wymaga rejestracji żadnego konkretnego zasobu, a protokół HTTP/2 jest wbudowany w CONFIG_HTTP_SERVER z akceptowanym czystym tekstem h2c, więc TLS temu nie zapobiega. Ani adres docelowy, ani zapisana wartość nie są kontrolowane przez osobę atakującą, więc nie ma to wpływu na poufność ani integralność. Nie ma to wpływu na aplikacje zbudowane bez CONFIG_HTTP_SERVER.

The HTTP/2 server in subsys/net/lib/http/http_server_http2.c clears the connection's stream binding at the start of every frame. handle_http_frame_header() executed client->current_stream = NULL unconditionally, but a CONTINUATION frame does not open a new stream and enter_http_frame_continuation_state() never re-bound one, so the rest of the header block was processed with client->current_stream unset. Two paths then write through the NULL pointer. A request for an unregistered resource, or a method the matched resource does not support, is answered by send_http2_404() or send_http2_405(), and both call send_headers_frame(), which unconditionally sets client->current_stream->headers_sent = true. A POST, PUT or PATCH to a registered dynamic resource reaches handle_http2_dynamic_resource(), which unlike its siblings (handle_http2_static_resource(), dynamic_get_del_opts_req_v2(), dynamic_post_put_req_v2()) had no client->current_stream == NULL guard, and stores through the pointer with client->current_stream->current_detail = dynamic_detail.

Any peer that can reach the server can trigger this without authentication or prior state. A single stray CONTINUATION frame with END_HEADERS set, sent right after the client preface and requesting any unregistered path, is enough, because nothing rejected a CONTINUATION that no HEADERS frame had opened. A legitimate split header block (a HEADERS frame with END_HEADERS clear whose payload ends on a header-field boundary, then a CONTINUATION with END_HEADERS set) reaches the same state. The in-tree test test_http2_post_headers_with_continuation() did not catch this because it splits the header block mid field, which takes the handle_incomplete_http_header() shortcut that keeps the stream bound.

The result is a write to a fixed low address (a small offset into struct http2_stream_ctx), which faults on mainstream targets (flash/vector-table region on Cortex-M, or a trap under MPU/MMU null-pointer detection), and the default fatal-error handler halts the system. Impact is an unauthenticated, remotely triggerable denial of service against any device running the HTTP/2 server: the 404 path needs no particular resource to be registered, and HTTP/2 is built into CONFIG_HTTP_SERVER with cleartext h2c accepted, so TLS does not prevent it. Neither the target address nor the written value is attacker-controlled, so there is no confidentiality or integrity impact. Applications built without CONFIG_HTTP_SERVER are not affected.

>_ Słabości (CWE)

CWE-476

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve