CVE-2019-9516highCWE-400

CVE-2019-9516: Some HTTP/2 implementations are vulnerable to a header leak…

Some HTTP/2 implementations are vulnerable to a header leak, potentially leading to a denial of service

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear nodejs+ Monitorear nginx

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

33Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 57%
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
5 productos
Red Hat 3scale API Management Platform 2 · Red Hat AMQ Broker 7 · Red Hat JBoss Enterprise Web Server 3 · Red Hat JBoss Fuse 6 · Red Hat OpenShift Application Runtimes
workaround: Red Hat Quay 3.0 uses Nginx 1.12 from Red Hat Software Collections. It will be updated once a fixed is released for Software Collections. In the meantime users of Quay can disable http/2 support in Nginx by following these instructions: 1…
Corregido
16 productos (891 componentes)
Red Hat Software Collections for Red Hat Enterprise Linux Server (v. 7) · Red Hat JBoss Core Services on RHEL 6 Server · Red Hat Software Collections for Red Hat Enterprise Linux Server EUS (v. 7.5) · Red Hat Software Collections for Red Hat Enterprise Linux Server EUS (v. 7.6) · Red Hat Software Collections for Red Hat Enterprise Linux Server EUS (v. 7.7) · y otros 11
corrección ↗
No afectado
17 productos (116 componentes) — porque el código vulnerable no está presente en el producto
Red Hat Software Collections · Red Hat OpenShift Container Platform 3.9 · Red Hat OpenShift Container Platform 3.10 · Red Hat Enterprise Linux 8 · Red Hat OpenShift Container Platform 3.11 · y otros 12
Some HTTP/2 implementations are vulnerable to a header leak, potentially leading to a denial of service. The attacker sends a stream of headers with a 0-length header name and 0-length header value, optionally Huffman encoded into 1-byte or greater headers. Some implementations allocate memory for these headers and keep the allocation alive until the session dies. This can consume excess memory.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Productos afectados
n/a · n/a