CVE-2024-45397— H2O 访问控制错误漏洞
新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2024-45397の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
H2O alllows bypassing address-based access control with 0-RTT
ソース: NVD (National Vulnerability Database)
脆弱性説明
h2o is an HTTP server with support for HTTP/1.x, HTTP/2 and HTTP/3. When an HTTP request using TLS/1.3 early data on top of TCP Fast Open or QUIC 0-RTT packets is received and the IP-address-based access control is used, the access control does not detect and prohibit HTTP requests conveyed by packets with a spoofed source address. This behavior allows attackers on the network to execute HTTP requests from addresses that are otherwise rejected by the address-based access control. The vulnerability has been addressed in commit 15ed15a. Users may disable the use of TCP FastOpen and QUIC to mitigate the issue.
ソース: NVD (National Vulnerability Database)
CVSS情報
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
ソース: NVD (National Vulnerability Database)
脆弱性タイプ
访问控制不恰当
ソース: NVD (National Vulnerability Database)
脆弱性タイトル
H2O 访问控制错误漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
H2O是H2O.ai开源的一个用于分布式、可扩展机器学习的内存平台。 H2O存在访问控制错误漏洞，该漏洞源于访问控制不会检测和禁止由具有欺骗源地址的数据包传达的HTTP请求，允许攻击者从地址访问控制拒绝的地址执行HTTP请求。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
II. CVE-2024-45397の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2024-45397のインテリジェンス情報
请登录查看更多情报信息。
Same Patch Batch · h2o · 2024-10-11 · 5 CVEs total
| CVE-2024-45402 | 8.6 HIGH | Picotls double free |
| CVE-2024-45396 | 7.5 HIGH | Quicly assertion failures |
| CVE-2024-45403 | 3.7 LOW | H2O assertion failure when HTTP/3 requests are cancelled |
| CVE-2024-25622 | 3.1 LOW | H2O ignores headers configuration directives |
IV. 関連脆弱性
同じ製品: h2o
- CVE-2024-45403
H2O assertion failure when HTTP/3 requests are cancelled - CVE-2024-25622
H2O ignores headers configuration directives - CVE-2023-50247
h2o QUIC state exhaustion DoS - CVE-2023-41337
h2o vulnerable to TLS session resumption misdirection - CVE-2023-30847
H2O vulnerable to read from uninitialized pointer in the rev
同じ弱点: CWE-284
- CVE-2026-8233
Dotouch XproUPF access control - CVE-2026-42569
phpvms: /importer authorization bypass causing full database - CVE-2026-42205
Avo: Broken Access Control: Unauthorized Execution of Arbitr - CVE-2026-41487
Langfuse: Improper role-based-access control in Langfuse LLM - CVE-2026-42278
UltraDAG: Smart Account Spending Policy Bypass via Pockets
V. CVE-2024-45397へのコメント
まだコメントはありません