CVE-2024-28182

Die Schwachstelle CVE-2024-28182 betrifft die nghttp2-Bibliothek vor Version 1.61.0. Sie ermöglicht eine Denial-of-Service-Attacke durch übermäßige CPU-Auslastung. Angreifer können eine unbegrenzte Anzahl von HTTP/2 CONTINUATION Frames senden, selbst nachdem ein Stream zurückgesetzt wurde, was zu einer hohen Belastung bei der Dekodierung des HPACK-Streams führt. Mit einem CVSS-Score von 5.3 (MEDIUM) und einem hohen EPSS-Wert von 85% für die Exploit-Wahrscheinlichkeit ist diese Schwachstelle als relevant einzustufen. Obwohl sie nicht in CISA KEV gelistet ist, deutet der hohe EPSS-Wert auf eine erhöhte Wahrscheinlichkeit hin, dass Exploits existieren oder entwickelt werden. Die fehlende Möglichkeit eines Workarounds erhöht den Handlungsbedarf. Security-Teams sollten umgehend alle betroffenen nghttp2-Installationen auf Version 1.61.0 oder höher aktualisieren. Dies gilt insbesondere für Debian Linux (Versionen 10.0, 11.0) und Fedora (Versionen 38, 39, 40). Eine zeitnahe Patch-Implementierung ist die einzige effektive Gegenmaßnahme, um die Gefahr einer Denial-of-Service-Attacke zu minimieren.