CVE-2024-28182

Reading unbounded number of HTTP/2 CONTINUATION frames to cause excessive CPU usage

Description

nghttp2 is an implementation of the Hypertext Transfer Protocol version 2 in C. The nghttp2 library prior to version 1.61.0 keeps reading the unbounded number of HTTP/2 CONTINUATION frames even after a stream is reset to keep HPACK context in sync. This causes excessive CPU usage to decode HPACK stream. nghttp2 v1.61.0 mitigates this vulnerability by limiting the number of CONTINUATION frames it accepts per stream. There is no workaround for this vulnerability.

Scores

Faiblesses (CWE)

• CWE-770

Références européennes

• ENISA EUVD · EUVD-2024-25307
• GCVE · GCVE-0-2024-28182

Avis du CERT-FR

• CERTFR-2026-AVI-1385 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2025-AVI-0969 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2025-AVI-0864 — Multiples vulnérabilités dans VMware Tanzu · cert.ssi.gouv.fr
• CERTFR-2025-AVI-0855 — Multiples vulnérabilités dans les produits Juniper Networks · cert.ssi.gouv.fr
• CERTFR-2025-AVI-0756 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2025-AVI-0304 — Multiples vulnérabilités dans les produits Juniper Networks · cert.ssi.gouv.fr
• CERTFR-2024-AVI-0958 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
• CERTFR-2024-AVI-0903 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
• CERTFR-2024-AVI-0884 — Multiples vulnérabilités dans Oracle MySQL · cert.ssi.gouv.fr
• CERTFR-2024-AVI-0741 — Multiples vulnérabilités dans Juniper Secure Analytics · cert.ssi.gouv.fr
• CERTFR-2024-AVI-0713 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2024-AVI-0692 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
• CERTFR-2024-AVI-0672 — Multiples vulnérabilités dans les produits Siemens · cert.ssi.gouv.fr
• CERTFR-2024-AVI-0579 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
• CERTFR-2024-AVI-0404 — Multiples vulnérabilités dans les produits Fortinet · cert.ssi.gouv.fr

Configurations affectées (CPE NVD)

• cpe:2.3:a:nghttp2:nghttp2:*:*:*:*:*:*:*:* < 1.61.0
• cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
• cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:*
• cpe:2.3:o:fedoraproject:fedora:38:*:*:*:*:*:*:*
• cpe:2.3:o:fedoraproject:fedora:39:*:*:*:*:*:*:*
• cpe:2.3:o:fedoraproject:fedora:40:*:*:*:*:*:*:*

Produits affectés

Références

• https://github.com/nghttp2/nghttp2/security/advisories/GHSA-x6x3-gv8h-m57q
• https://github.com/nghttp2/nghttp2/commit/00201ecd8f982da3b67d4f6868af72a1b03b14e0
• https://github.com/nghttp2/nghttp2/commit/d71a4668c6bead55805d18810d633fbb98315af9
• https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/AGOME6ZXJG7664IPQNVE3DL67E3YP3HY/
• https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/J6ZMXUGB66VAXDW5J6QSTHM5ET25FGSA/
• https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PXJO2EASHM2OQQLGVDY5ZSO7UVDVHTDK/
• https://lists.debian.org/debian-lts-announce/2024/04/msg00026.html
• http://www.openwall.com/lists/oss-security/2024/04/03/16
• https://lists.debian.org/debian-lts-announce/2024/09/msg00041.html
• https://www.kb.cert.org/vuls/id/421644
• https://cert-portal.siemens.com/productcert/html/ssa-398330.html
• https://cert-portal.siemens.com/productcert/html/ssa-784301.html

Sources