CVE-2024-27316highCWE-770

CVE-2024-27316: falha de alta gravidade em Apache HTTP Server

Apache HTTP Server: HTTP/2 DoS by memory exhaustion on endless continuation frames

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Apache HTTP Server+ Monitorar apache2

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

43Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 91%
O que os fabricantes declaram (VEX)

Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.

Red Hatdocumento VEX ↗
Afetado
21 produtos (47 componentes)
Red Hat Enterprise Linux 10 · Red Hat Enterprise Linux 6 · Red Hat Software Collections · Red Hat Enterprise Linux 7 · Red Hat OpenShift Container Platform 3.11 · e outros 16
workaround: Red Hat has investigated whether a possible mitigation exists for this issue, and has not been able to identify a practical example. Please update the affected package as soon as possible.
Corrigido
18 produtos (693 componentes)
Red Hat Enterprise Linux AppStream (v. 8) · Red Hat Enterprise Linux AppStream EUS (v.8.6) · Red Hat Enterprise Linux AppStream EUS (v.8.8) · Red Hat JBoss EAP 7.4 for RHEL 8 · Red Hat JBoss EAP 7.4 for RHEL 7 Server · e outros 13
correção ↗
Não afetado
25 produtos (1.435 componentes) — porque o código vulnerável não está presente no produto
Red Hat JBoss Enterprise Application Platform · .NET 6.0 on Red Hat Enterprise Linux · Red Hat Enterprise Linux 8 · Red Hat Enterprise Linux 7 · Red Hat Enterprise Linux 9 · e outros 20
HTTP/2 incoming headers exceeding the limit are temporarily buffered in nghttp2 in order to generate an informative HTTP 413 response. If a client does not stop sending headers, this leads to memory exhaustion.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
Apache Software Foundation · Apache HTTP Server
CVEs relacionadas — Apache HTTP Server

No mesmo produto, das mais perigosas para as menos.

CVE-2021-40438CRITICALmod_proxy SSRFEPSS 100.0%KEVCVE-2021-41773HIGHPath traversal and file disclosure vulnerability in Apache HTTP Server 2.4.49EPSS 100.0%KEVCVE-2021-42013CRITICALPath Traversal and Remote Code Execution in Apache HTTP Server 2.4.49 and 2.4.50 (incomplete fix of CVE-2021-41773)EPSS 100.0%KEVCVE-2024-38475CRITICALApache HTTP Server weakness in mod_rewrite when first segment of substitution matches filesystem path.EPSS 100.0%KEVCVE-2021-44790—Possible buffer overflow when parsing multipart content in mod_lua of Apache HTTP Server 2.4.51 and earlierEPSS 96.8%CVE-2017-9798—CVE-2017-9798EPSS 95.0%