CVE-2023-44487
At a glance
- Severity
- HIGH 7.5
- Exploitation
- Known exploited (CISA KEV) · added 2023-10-10
Exploited per ENISA since 2023-10-10 - EPSS
- EPSS 100.00 % · percentile 100 (2026-10-27)
- State
- PUBLISHED
- Published
- Updated
- Assigner
- mitre
- NVD status
- Analyzed
Description
The HTTP/2 protocol allows a denial of service (server resource consumption) because request cancellation can reset many streams quickly, as exploited in the wild in August through October 2023.
Scores
| Version | Score | Vector | Scored by |
|---|---|---|---|
| CVSS 3.1 | HIGH 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | CISA-ADP |
| CVSS 3.1 | HIGH 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | NVD · nvd@nist.gov (Primary) |
| CVSS 3.1 | HIGH 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | NVD · 134c704f-9b21-4f2e-91b3-4a467353bcc0 (Secondary) |
Weaknesses (CWE)
Advisories
- GHSA-qppj-fm5r-hxr3 — HTTP/2 Stream Cancellation Attack
European references
- ENISA EUVD · EUVD-2023-2795
- GCVE · GCVE-0-2023-44487
CERT-FR advisories
- CERTFR-2026-AVI-1385 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2026-AVI-1378 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2026-AVI-1206 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2026-AVI-1165 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2026-AVI-1067 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2026-AVI-1032 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2026-AVI-0627 — Multiples vulnérabilités dans les produits Splunk · cert.ssi.gouv.fr
- CERTFR-2026-AVI-0339 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2026-AVI-0326 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2026-AVI-0316 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2026-AVI-0287 — Multiples vulnérabilités dans les produits NetApp · cert.ssi.gouv.fr
- CERTFR-2026-AVI-0281 — Multiples vulnérabilités dans les produits Splunk · cert.ssi.gouv.fr
- CERTFR-2026-AVI-0199 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0969 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0967 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0960 — Multiples vulnérabilités dans VMware Tanzu · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0864 — Multiples vulnérabilités dans VMware Tanzu · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0861 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0756 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0667 — Multiples vulnérabilités dans Juniper Secure Analytics · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0622 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0608 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0565 — Multiples vulnérabilités dans les produits Schneider Electric · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0532 — Multiples vulnérabilités dans les produits Splunk · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0524 — Multiples vulnérabilités dans VMware Tanzu · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0492 — Multiples vulnérabilités dans les produits Siemens · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0283 — Multiples vulnérabilités dans VMware Tanzu Greenplum · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0279 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0256 — Multiples vulnérabilités dans Broadcom VMware Tanzu Greenplum · cert.ssi.gouv.fr
- CERTFR-2024-AVI-1081 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- +48 more
Affected configurations (NVD CPE)
cpe:2.3:o:siemens:simatic_s7-1500_cpu_1518f-4_pn\/dp_mfp_firmware:*:*:*:*:*:*:*:*≥ 3.1.5cpe:2.3:a:siemens:sinec_ins:*:*:*:*:*:*:*:*< 1.0cpe:2.3:a:siemens:sinec_ins:1.0:-:*:*:*:*:*:*cpe:2.3:a:siemens:sinec_ins:1.0:sp1:*:*:*:*:*:*cpe:2.3:a:siemens:sinec_ins:1.0:sp2:*:*:*:*:*:*cpe:2.3:a:siemens:sinec_ins:1.0:sp2_update_1:*:*:*:*:*:*cpe:2.3:a:siemens:sinec_ins:1.0:sp2_update_2:*:*:*:*:*:*cpe:2.3:a:siemens:sinec_nms:*:*:*:*:*:*:*:*< 3.0cpe:2.3:a:siemens:st7_scadaconnect:*:*:*:*:*:*:*:*< 1.1cpe:2.3:o:siemens:ruggedcom_ape1808_firmware:-:*:*:*:*:*:*:*cpe:2.3:o:siemens:simatic_s7-1500_cpu_1518-4_pn\/dp_mfp_firmware:*:*:*:*:*:*:*:*≥ 3.1.5cpe:2.3:o:siemens:siplus_s7-1500_cpu_1518-4_pn\/dp_mfp_firmware:*:*:*:*:*:*:*:*≥ 3.1.5cpe:2.3:a:ietf:http:2.0:*:*:*:*:*:*:*cpe:2.3:a:nghttp2:nghttp2:*:*:*:*:*:*:*:*< 1.57.0cpe:2.3:a:netty:netty:*:*:*:*:*:*:*:*< 4.1.100cpe:2.3:a:envoyproxy:envoy:1.24.10:*:*:*:*:*:*:*cpe:2.3:a:envoyproxy:envoy:1.25.9:*:*:*:*:*:*:*cpe:2.3:a:envoyproxy:envoy:1.26.4:*:*:*:*:*:*:*cpe:2.3:a:envoyproxy:envoy:1.27.0:*:*:*:*:*:*:*cpe:2.3:a:eclipse:jetty:*:*:*:*:*:*:*:*< 9.4.53cpe:2.3:a:eclipse:jetty:*:*:*:*:*:*:*:*≥ 10.0.0 < 10.0.17cpe:2.3:a:eclipse:jetty:*:*:*:*:*:*:*:*≥ 11.0.0 < 11.0.17cpe:2.3:a:eclipse:jetty:*:*:*:*:*:*:*:*≥ 12.0.0 < 12.0.2cpe:2.3:a:caddyserver:caddy:*:*:*:*:*:*:*:*< 2.7.5cpe:2.3:a:golang:go:*:*:*:*:*:*:*:*< 1.20.10cpe:2.3:a:golang:go:*:*:*:*:*:*:*:*≥ 1.21.0 < 1.21.3cpe:2.3:a:golang:http2:*:*:*:*:*:go:*:*< 0.17.0cpe:2.3:a:golang:networking:*:*:*:*:*:go:*:*< 0.17.0cpe:2.3:a:f5:big-ip_access_policy_manager:*:*:*:*:*:*:*:*≥ 13.1.0 ≤ 13.1.5cpe:2.3:a:f5:big-ip_access_policy_manager:*:*:*:*:*:*:*:*≥ 14.1.0 ≤ 14.1.5cpe:2.3:a:f5:big-ip_access_policy_manager:*:*:*:*:*:*:*:*≥ 15.1.0 ≤ 15.1.10cpe:2.3:a:f5:big-ip_access_policy_manager:*:*:*:*:*:*:*:*≥ 16.1.0 ≤ 16.1.4cpe:2.3:a:f5:big-ip_access_policy_manager:17.1.0:*:*:*:*:*:*:*cpe:2.3:a:f5:big-ip_advanced_firewall_manager:*:*:*:*:*:*:*:*≥ 13.1.0 ≤ 13.1.5cpe:2.3:a:f5:big-ip_advanced_firewall_manager:*:*:*:*:*:*:*:*≥ 14.1.0 ≤ 14.1.5cpe:2.3:a:f5:big-ip_advanced_firewall_manager:*:*:*:*:*:*:*:*≥ 15.1.0 ≤ 15.1.10cpe:2.3:a:f5:big-ip_advanced_firewall_manager:*:*:*:*:*:*:*:*≥ 16.1.0 ≤ 16.1.4cpe:2.3:a:f5:big-ip_advanced_firewall_manager:17.1.0:*:*:*:*:*:*:*cpe:2.3:a:f5:big-ip_advanced_web_application_firewall:*:*:*:*:*:*:*:*≥ 13.1.0 ≤ 13.1.5cpe:2.3:a:f5:big-ip_advanced_web_application_firewall:*:*:*:*:*:*:*:*≥ 14.1.0 ≤ 14.1.5- +264 more
Affected products
| Product | Versions |
|---|---|
| affected n/a |
References
- https://github.com/dotnet/core/blob/e4613450ea0da7fd2fc6b61dfb2c1c1dec1ce9ec/release-notes/6.0/6.0.23/6.0.23.md?plain=1#L73
- https://blog.cloudflare.com/technical-breakdown-http2-rapid-reset-ddos-attack/
- https://aws.amazon.com/security/security-bulletins/AWS-2023-011/
- https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack
- https://www.nginx.com/blog/http-2-rapid-reset-attack-impacting-f5-nginx-products/
- https://cloud.google.com/blog/products/identity-security/google-cloud-mitigated-largest-ddos-attack-peaking-above-398-million-rps/
- https://news.ycombinator.com/item?id=37831062
- https://blog.cloudflare.com/zero-day-rapid-reset-http2-record-breaking-ddos-attack/
- https://www.phoronix.com/news/HTTP2-Rapid-Reset-Attack
- https://github.com/envoyproxy/envoy/pull/30055
- https://github.com/haproxy/haproxy/issues/2312
- https://github.com/eclipse/jetty.project/issues/10679
- https://forums.swift.org/t/swift-nio-http2-security-update-cve-2023-44487-http-2-dos/67764
- https://github.com/nghttp2/nghttp2/pull/1961
- https://github.com/netty/netty/commit/58f75f665aa81a8cbcf6ffa74820042a285c5e61
- https://github.com/alibaba/tengine/issues/1872
- https://github.com/apache/tomcat/tree/main/java/org/apache/coyote/http2
- https://news.ycombinator.com/item?id=37830987
- https://news.ycombinator.com/item?id=37830998
- https://github.com/caddyserver/caddy/issues/5877
- https://www.bleepingcomputer.com/news/security/new-http-2-rapid-reset-zero-day-attack-breaks-ddos-records/
- https://github.com/bcdannyboy/CVE-2023-44487
- https://github.com/grpc/grpc-go/pull/6703
- https://github.com/icing/mod_h2/blob/0a864782af0a942aa2ad4ed960a6b32cd35bcf0a/mod_http2/README.md?plain=1#L239-L244
- https://github.com/nghttp2/nghttp2/releases/tag/v1.57.0
- https://mailman.nginx.org/pipermail/nginx-devel/2023-October/S36Q5HBXR7CAIMPLLPRSSSYR4PCMWILK.html
- https://my.f5.com/manage/s/article/K000137106
- https://msrc.microsoft.com/blog/2023/10/microsoft-response-to-distributed-denial-of-service-ddos-attacks-against-http/2/
- https://bugzilla.proxmox.com/show_bug.cgi?id=4988
- https://cgit.freebsd.org/ports/commit/?id=c64c329c2c1752f46b73e3e6ce9f4329be6629f9
- http://www.openwall.com/lists/oss-security/2023/10/10/7
- http://www.openwall.com/lists/oss-security/2023/10/10/6
- https://seanmonstar.com/post/730794151136935936/hyper-http2-rapid-reset-unaffected
- https://github.com/microsoft/CBL-Mariner/pull/6381
- https://groups.google.com/g/golang-announce/c/iNNxDTCjZvo
- https://github.com/facebook/proxygen/pull/466
- https://gist.github.com/adulau/7c2bfb8e9cdbe4b35a5e131c66a0c088
- https://github.com/micrictor/http2-rst-stream
- https://edg.io/lp/blog/resets-leaks-ddos-and-the-tale-of-a-hidden-cve
- https://openssf.org/blog/2023/10/10/http-2-rapid-reset-vulnerability-highlights-need-for-rapid-response/
- https://github.com/h2o/h2o/security/advisories/GHSA-2m7v-gc89-fjqf
- https://github.com/h2o/h2o/pull/3291
- https://github.com/nodejs/node/pull/50121
- https://github.com/dotnet/announcements/issues/277
- https://github.com/golang/go/issues/63417
- https://github.com/advisories/GHSA-vx74-f528-fxqg
- https://github.com/apache/trafficserver/pull/10564
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-44487
- https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.14
- https://lists.apache.org/thread/5py8h42mxfsn8l1wy6o41xwhsjlsd87q
- +123 more
Sources
| Source | Licence |
|---|---|
| CVE List (CVEProject cvelistV5) | CVE Program Terms of Use |
| CISA Known Exploited Vulnerabilities | CC0 1.0 |
| EPSS (FIRST.org) | FIRST — attribution requested |
| ENISA EUVD | ENISA — reproduction authorised, source acknowledged |
| CERT-FR (ANSSI) | Licence Ouverte / Etalab 2.0 |
| NVD (NIST) via fkie-cad/nvd-json-data-feeds | Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD |