CVE-2019-9516highCWE-400

CVE-2019-9516: Some HTTP/2 implementations are vulnerable to a header leak…

Some HTTP/2 implementations are vulnerable to a header leak, potentially leading to a denial of service

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar nodejs+ Monitorar nginx

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

33Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 57%
O que os fabricantes declaram (VEX)

Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.

Red Hatdocumento VEX ↗
Afetado
5 produtos
Red Hat 3scale API Management Platform 2 · Red Hat AMQ Broker 7 · Red Hat JBoss Enterprise Web Server 3 · Red Hat JBoss Fuse 6 · Red Hat OpenShift Application Runtimes
workaround: Red Hat Quay 3.0 uses Nginx 1.12 from Red Hat Software Collections. It will be updated once a fixed is released for Software Collections. In the meantime users of Quay can disable http/2 support in Nginx by following these instructions: 1…
Corrigido
16 produtos (891 componentes)
Red Hat Software Collections for Red Hat Enterprise Linux Server (v. 7) · Red Hat JBoss Core Services on RHEL 6 Server · Red Hat Software Collections for Red Hat Enterprise Linux Server EUS (v. 7.5) · Red Hat Software Collections for Red Hat Enterprise Linux Server EUS (v. 7.6) · Red Hat Software Collections for Red Hat Enterprise Linux Server EUS (v. 7.7) · e outros 11
correção ↗
Não afetado
17 produtos (116 componentes) — porque o código vulnerável não está presente no produto
Red Hat Software Collections · Red Hat OpenShift Container Platform 3.9 · Red Hat OpenShift Container Platform 3.10 · Red Hat Enterprise Linux 8 · Red Hat OpenShift Container Platform 3.11 · e outros 12
Some HTTP/2 implementations are vulnerable to a header leak, potentially leading to a denial of service. The attacker sends a stream of headers with a 0-length header name and 0-length header value, optionally Huffman encoded into 1-byte or greater headers. Some implementations allocate memory for these headers and keep the allocation alive until the session dies. This can consume excess memory.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
n/a · n/a