Go HTTP/2: Ressourcenerschöpfung durch Rapid Reset (HTTP/2 Rapid Reset)

Beschreibung

Ein bösartiger HTTP/2-Client kann laut Quelle durch schnelles Erstellen von Requests und deren sofortigen Reset einen übermässigen Ressourcenverbrauch auf dem Server verursachen. Zwar begrenzt die Einstellung http2.Server.MaxConcurrentStreams die Gesamtzahl der Requests, doch das Zurücksetzen eines laufenden Requests erlaubt es dem Angreifer, während die bestehende Anfrage noch bearbeitet wird, eine neue zu erstellen. Mit dem Fix begrenzen HTTP/2-Server die Zahl gleichzeitig ausgeführter Handler-Goroutinen auf das Stream-Concurrency-Limit; wächst die Warteschlange neuer Requests zu stark, beendet der Server die Verbindung. Der Fix betrifft auch golang.org/x/net/http2 bei manueller HTTP/2-Konfiguration. CVSS-Basiswert: 7.5 (Hoch).

Changelog

1. 2026-07-31 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Go (Programmiersprache)

• Apple Multiple Products – Integer Overflow oder Wraparound KEV CVE-2021-30952
• Linux Kernel – Integer Overflow KEV CVE-2018-14634
• Linux Kernel – Heap Out-of-Bounds Write KEV CVE-2021-22555
• Rails / Ruby on Rails Path Traversal Vulnerability KEV CVE-2019-5418
• AMI MegaRAC SPx – Authentication Bypass by Spoofing KEV CVE-2024-54085
• Linux Kernel – Improper Ownership Management KEV CVE-2023-0386