CVE-2026-44452— H2O 缓冲区错误漏洞
Possible ATT&CK Techniques 1AI
T1499 · Endpoint Denial of Service新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2026-44452の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
h2o is vulnerable to heap overrun
ソース: NVD (National Vulnerability Database)
脆弱性説明
h2o is an HTTP server with support for HTTP/1.x, HTTP/2 and HTTP/3. Prior to commit 8dc37cb, when h2o receives a ClientHello message over TLS or QUIC and it contains a zero-length SNI extension, the h2o server runs over the zero-length hostname while trying to copy the hostname, assuming that it is NULL-terminated. This is a potential denial-of-service attack vector in sense that it might trigger segmentation violation. This issue has been fixed by commit 8dc37cb.
ソース: NVD (National Vulnerability Database)
CVSS情報
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
ソース: NVD (National Vulnerability Database)
脆弱性タイプ
跨界内存读
ソース: NVD (National Vulnerability Database)
脆弱性タイトル
H2O 缓冲区错误漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
h2o是H2O公司开源的一款新一代HTTP服务器。 H2O 8dc37cb之前版本存在缓冲区错误漏洞，该漏洞源于在处理TLS或QUIC的ClientHello消息时，若包含零长度的SNI扩展，服务器在复制主机名时假定其以NULL结尾，可能导致分段违规，从而引发拒绝服务攻击。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
II. CVE-2026-44452の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2026-44452のインテリジェンス情報
请登录查看更多情报信息。
CVE-2026-44452 厂商安全公告 (1)
- 🔗 heap overrun · Advisory · h2o/h2o · GitHubx_refsource_CONFIRM
Same Patch Batch · h2o · 2026-07-16 · 7 CVEs total
| CVE-2026-44436 | 7.5 HIGH | Quicly is vulnerable to connection state corruption |
| CVE-2026-44435 | 7.5 HIGH | Quicly: Remote Denial of Service via assertion failure when CRYPTO stream handshake data e |
| CVE-2026-44453 | 7.5 HIGH | h2o is vulnerable to musl libc stack overflow |
| CVE-2026-54340 | 7.5 HIGH | h2o has HTTP/2 state amplification |
| CVE-2026-44433 | 5.3 MEDIUM | Quicly is vulnerable to memory exhaustion |
| CVE-2026-44434 | 5.3 MEDIUM | Quicly is vulnerable to stateless reset injection |
IV. 関連脆弱性
同じ製品: h2o
- CVE-2026-54340
h2o has HTTP/2 state amplification - CVE-2026-44453
h2o is vulnerable to musl libc stack overflow - CVE-2026-55213
h2o: musl libc stack overflow (QPACK) - CVE-2024-45403
H2O assertion failure when HTTP/3 requests are cancelled - CVE-2024-45397
H2O alllows bypassing address-based access control with 0-RT
同じベンダー: h2o
- CVE-2026-54340
h2o has HTTP/2 state amplification - CVE-2026-44453
h2o is vulnerable to musl libc stack overflow - CVE-2026-44436
Quicly is vulnerable to connection state corruption - CVE-2026-44435
Quicly: Remote Denial of Service via assertion failure when - CVE-2026-44434
Quicly is vulnerable to stateless reset injection
同じ弱点: CWE-125
- CVE-2026-16013
liftoff-sr CIPster cipepath.cc deserialize_symbolic out-of-b - CVE-2026-57077
YAML::Syck versions before 1.47 for Perl allow an out-of-bou - CVE-2026-57075
YAML::Syck versions before 1.47 for Perl allow an out-of-bou - CVE-2026-60073
AutomationDirect Productivity Suite Out-of-bounds Read - CVE-2026-57896
AutomationDirect Productivity Suite Out-of-bounds Read
V. CVE-2026-44452へのコメント
まだコメントはありません