CVE-2024-2398
HTTP/2 push headers memory-leak
At a glance
- Severity
- HIGH 8.6
- EPSS
- EPSS 36.08 % · percentile 98 (2026-10-27)
- State
- PUBLISHED
- Published
- Updated
- Assigner
- curl
- NVD status
- Modified
Description
When an application tells libcurl it wants to allow HTTP/2 server push, and the amount of received headers for the push surpasses the maximum allowed limit (1000), libcurl aborts the server push. When aborting, libcurl inadvertently does not free all the previously allocated headers and instead leaks the memory. Further, this error condition fails silently and is therefore not easily detected by an application.
Scores
| Version | Score | Vector | Scored by |
|---|---|---|---|
| CVSS 3.1 | HIGH 8.6 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L | CISA-ADP |
| CVSS 3.1 | HIGH 8.6 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L | NVD · 134c704f-9b21-4f2e-91b3-4a467353bcc0 (Secondary) |
Weaknesses (CWE)
European references
- ENISA EUVD · EUVD-2024-27350
- GCVE · GCVE-0-2024-2398
CERT-FR advisories
- CERTFR-2026-AVI-0218 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2026-AVI-0199 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-1057 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-1024 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0969 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0864 — Multiples vulnérabilités dans VMware Tanzu · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0756 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0622 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0563 — Multiples vulnérabilités dans les produits Splunk · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0309 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0003 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2024-AVI-1103 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2024-AVI-1081 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0958 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0797 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0741 — Multiples vulnérabilités dans Juniper Secure Analytics · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0676 — Multiples vulnérabilités dans Tenable Security Center · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0634 — Multiples vulnérabilités dans les produits Apple · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0587 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0579 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0538 — Multiples vulnérabilités dans Tenable Identity Exposure · cert.ssi.gouv.fr
Affected configurations (NVD CPE)
cpe:2.3:a:haxx:curl:*:*:*:*:*:*:*:*≥ 7.44.0 < 8.7.0cpe:2.3:o:apple:macos:*:*:*:*:*:*:*:*< 12.7.6cpe:2.3:o:apple:macos:*:*:*:*:*:*:*:*≥ 13.0 < 13.6.8cpe:2.3:o:apple:macos:*:*:*:*:*:*:*:*≥ 14.0 < 14.6cpe:2.3:o:fedoraproject:fedora:39:*:*:*:*:*:*:*cpe:2.3:o:fedoraproject:fedora:40:*:*:*:*:*:*:*cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:vmware_vsphere:*:*cpe:2.3:a:netapp:ontap_select_deploy_administration_utility:-:*:*:*:*:*:*:*cpe:2.3:o:netapp:brocade_fabric_operating_system:-:*:*:*:*:*:*:*cpe:2.3:o:netapp:bootstrap_os:-:*:*:*:*:*:*:*cpe:2.3:o:netapp:h300s_firmware:-:*:*:*:*:*:*:*cpe:2.3:o:netapp:h410s_firmware:-:*:*:*:*:*:*:*cpe:2.3:o:netapp:h500s_firmware:-:*:*:*:*:*:*:*cpe:2.3:o:netapp:h610c_firmware:-:*:*:*:*:*:*:*cpe:2.3:o:netapp:h610s_firmware:-:*:*:*:*:*:*:*cpe:2.3:o:netapp:h615c_firmware:-:*:*:*:*:*:*:*cpe:2.3:o:netapp:h700s_firmware:-:*:*:*:*:*:*:*
Affected products
| Product | Versions |
|---|---|
| curl · curl | affected 8.6.0 ≤ 8.6.0 ; affected 8.5.0 ≤ 8.5.0 ; affected 8.4.0 ≤ 8.4.0 ; affected 8.3.0 ≤ 8.3.0 ; affected 8.2.1 ≤ 8.2.1 ; affected 8.2.0 ≤ 8.2.0 |
References
- https://curl.se/docs/CVE-2024-2398.json
- https://curl.se/docs/CVE-2024-2398.html
- https://hackerone.com/reports/2402845
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/GMD6UYKCCRCYETWQZUJ65ZRFULT6SHLI/
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/2D44YLAUFJU6BZ4XFG2FYV7SBKXB5IZ6/
- http://www.openwall.com/lists/oss-security/2024/03/27/3
- https://security.netapp.com/advisory/ntap-20240503-0009/
- https://support.apple.com/kb/HT214119
- https://support.apple.com/kb/HT214118
- https://support.apple.com/kb/HT214120
- http://seclists.org/fulldisclosure/2024/Jul/20
- http://seclists.org/fulldisclosure/2024/Jul/18
- http://seclists.org/fulldisclosure/2024/Jul/19
- https://cert-portal.siemens.com/productcert/html/ssa-398330.html
- https://cert-portal.siemens.com/productcert/html/ssa-417159.html
- https://cert-portal.siemens.com/productcert/html/ssa-331112.html
Sources
| Source | Licence |
|---|---|
| CVE List (CVEProject cvelistV5) | CVE Program Terms of Use |
| EPSS (FIRST.org) | FIRST — attribution requested |
| ENISA EUVD | ENISA — reproduction authorised, source acknowledged |
| CERT-FR (ANSSI) | Licence Ouverte / Etalab 2.0 |
| NVD (NIST) via fkie-cad/nvd-json-data-feeds | Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD |