Уязвимость DoS атаки из-за некорректной обработки заголовков HTTP и MIME, приводящей к чрезмерному выделению памяти в HTTP-сервере
Описание
Некорректная обработка заголовков HTTP и MIME может выделять большие объемы памяти даже при обработке небольших входных данных, что может привести к DoS атаке. Определенные необычные структуры входных данных вызывают функцию, используемую для парсинга заголовков HTTP и MIME, выделять значительно больше памяти, чем необходимо для хранения разобранных заголовков. Злоумышленник способен воспользоваться этим поведением, чтобы заставить HTTP-сервер выделить большое количество памяти от небольшого запроса, что может привести к истощению памяти и DoS атаке.
В обновлении безопасности обработка заголовков теперь корректно выделяет только то количество памяти, которое необходимо для хранения разобранных заголовков.
Тип уязвимости
- Истощение памяти (memory exhaustion)
- DoS атака
Ссылки
- PatchVendor Advisory
- Issue TrackingVendor Advisory
- Mailing ListPatch
- Vendor Advisory
- PatchVendor Advisory
- Issue TrackingVendor Advisory
- Mailing ListPatch
- Vendor Advisory
Уязвимые конфигурации
Одно из
EPSS
7.5 High
CVSS3
Дефекты
Связанные уязвимости
HTTP and MIME header parsing can allocate large amounts of memory, even when parsing small inputs, potentially leading to a denial of service. Certain unusual patterns of input data can cause the common function used to parse HTTP and MIME headers to allocate substantially more memory than required to hold the parsed headers. An attacker can exploit this behavior to cause an HTTP server to allocate large amounts of memory from a small request, potentially leading to memory exhaustion and a denial of service. With fix, header parsing now correctly allocates only the memory required to hold parsed headers.
HTTP and MIME header parsing can allocate large amounts of memory, even when parsing small inputs, potentially leading to a denial of service. Certain unusual patterns of input data can cause the common function used to parse HTTP and MIME headers to allocate substantially more memory than required to hold the parsed headers. An attacker can exploit this behavior to cause an HTTP server to allocate large amounts of memory from a small request, potentially leading to memory exhaustion and a denial of service. With fix, header parsing now correctly allocates only the memory required to hold parsed headers.
HTTP and MIME header parsing can allocate large amounts of memory, eve ...
HTTP and MIME header parsing can allocate large amounts of memory, even when parsing small inputs, potentially leading to a denial of service. Certain unusual patterns of input data can cause the common function used to parse HTTP and MIME headers to allocate substantially more memory than required to hold the parsed headers. An attacker can exploit this behavior to cause an HTTP server to allocate large amounts of memory from a small request, potentially leading to memory exhaustion and a denial of service. With fix, header parsing now correctly allocates only the memory required to hold parsed headers.
Уязвимость пакета net/textproto языка программирования Golang, позволяющая нарушителю вызвать отказ в обслуживании
EPSS
7.5 High
CVSS3