H2O 忽略标头配置指令（CVE-2024-25622）

CVE编号

CVE-2024-25622

利用情况

暂无

补丁情况

N/A

披露时间

2024-10-11

漏洞描述

H2O是一个支持HTTP/1.x、HTTP/2和HTTP/3协议的HTTP服务器。其头部处理器提供的配置指令允许用户修改由H2O发送的响应头部。H2O的配置文件包含多个作用域，内部作用域（例如路径级别）预期会继承外部作用域（例如全局级别）中定义的配置。然而，如果在内部作用域中使用头部指令，外部作用域中的所有定义都会被忽略。这可能导致头部无法按预期进行修改。由于意外地添加或删除头部，这种行为可能导致客户端出现意外行为。该漏洞已在提交123f5e2b65dcdba8f7ef659a00d24bd1249141be中得到修复。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/h2o/h2o/commit/123f5e2b65dcdba8f7ef659a00d24bd1249141be
https://github.com/h2o/h2o/issues/3332
https://github.com/h2o/h2o/security/advisories/GHSA-5m7v-cj65-h6pj

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com