Some HTTP/2 implementations are vulnerable to ping floods, potentially leading to a denial of service

CVE-2019-9512

HIGH 7.5

En bref

Source: NVD
EPSS: EPSS 83.43 % · centile 100 (2026-10-29)
État: PUBLISHED
Publiée: 2019-08-13 20:50 UTC
Mise à jour: 2024-08-04 21:54 UTC
Attribuée par: certcc
Statut NVD: Modified

Rechercher sur…

Description

Some HTTP/2 implementations are vulnerable to ping floods, potentially leading to a denial of service. The attacker sends continual pings to an HTTP/2 peer, causing the peer to build an internal queue of responses. Depending on how efficiently this data is queued, this can consume excess CPU, memory, or both.

Faiblesses (CWE)

CWE-400 — Consommation de ressources non maîtrisée (déni de service)

Références

Scores

Version	Score	Vecteur	Évalué par
CVSS 3.0	HIGH 7.5	CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H	certcc
CVSS 3.1	HIGH 7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H	NVD · nvd@nist.gov (Primary)
CVSS 3.0	HIGH 7.5	CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H	NVD · cret@cert.org (Secondary)
CVSS 2.0	HIGH 7.8	AV:N/AC:L/Au:N/C:N/I:N/A:C	NVD · nvd@nist.gov (Primary)

Avis

GHSA-39qc-96h7-956f — golang.org/x/net/http vulnerable to a reset flood
GHSA-hgr8-6h9x-f7q9 — golang.org/x/net/http vulnerable to ping floods
GO-2022-0536 — Reset flood in net/http and golang.org/x/net/http

Références européennes

ENISA EUVD · EUVD-2022-4147
GCVE · GCVE-0-2019-9512

Avis du CERT-FR

CERTFR-2026-AVI-0109 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2020-AVI-175 — Multiples vulnérabilités dans IBM WebSphere Liberty · cert.ssi.gouv.fr
CERTFR-2020-AVI-111 — Multiples vulnérabilités dans IBM WebSphere Liberty · cert.ssi.gouv.fr
CERTFR-2020-AVI-064 — Multiples vulnérabilités dans IBM Control Center · cert.ssi.gouv.fr
CERTFR-2019-AVI-634 — Multiples vulnérabilités dans F5 BIG-IP · cert.ssi.gouv.fr
CERTFR-2019-AVI-397 — Multiples vulnérabilités dans Microsoft Windows · cert.ssi.gouv.fr
CERTFR-2019-AVI-388 — Multiples vulnérabilités dans Apple SwiftNIO · cert.ssi.gouv.fr

Configurations affectées (CPE NVD)

cpe:2.3:a:apple:swiftnio:*:*:*:*:*:*:*:* ≥ 1.0.0 ≤ 1.4.0
cpe:2.3:a:apache:traffic_server:*:*:*:*:*:*:*:* ≥ 6.0.0 ≤ 6.2.3
cpe:2.3:a:apache:traffic_server:*:*:*:*:*:*:*:* ≥ 7.0.0 ≤ 7.1.6
cpe:2.3:a:apache:traffic_server:*:*:*:*:*:*:*:* ≥ 8.0.0 ≤ 8.0.3
cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:* ≥ 8.0.0 ≤ 8.8.1
cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:* ≥ 8.9.0 < 8.16.1
cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:* ≥ 10.0.0 ≤ 10.12.0
cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:* ≥ 10.13.0 < 10.16.3
cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:* ≥ 12.0.0 < 12.8.1

Produits affectés

Produit	Versions
	affected n/a

Sources

Source	Licence
CVE List (CVEProject cvelistV5)	CVE Program Terms of Use
EPSS (FIRST.org)	FIRST — attribution requested
ENISA EUVD	ENISA — reproduction authorised, source acknowledged
CERT-FR (ANSSI)	Licence Ouverte / Etalab 2.0
NVD (NIST) via fkie-cad/nvd-json-data-feeds	Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD

⚠️ Some HTTP/2 implementations are vulnerable to ping floods, potentially leading to a denial of service