【雲智維資安預警通知】

一、摘要
        HTTP/2 Protocol 存在一個漏洞，允許遠端攻擊者利用此漏洞，於目標系統觸發阻斷服務狀況。


二、存在風險

 

        HTTP/2 Protocol 存在一個漏洞，允許遠端攻擊者利用此漏洞，於目標系統觸發阻斷服務狀況，其影響系統如下：
受影響之系統/漏洞描述：
啟用了 HTTP/2 協定的伺服器可能會受到影響


三、建議改善措施

 

        企業及使用者如有上述漏洞版本應儘速更新或停用HTTP/2：
 Nginx
 升級至 Nginx 1.29.8 以上版本。
若短期無法升級，可先停用 HTTP/2 功能。


Apache HTTP Server
升級至 mod_http2 v2.0.41 或以上版本。
若無法立即升級，可先停用 HTTP/2 功能。


Microsoft IIS / Envoy / Cloudflare Pingora
停用 HTTP/2。
前端部署 Reverse Proxy / WAF。
強制限制每個 Request 可接受的 Header 數量。


       情資報告連結：
https://blog.calif.io/p/codex-discovered-a-hidden-http2-bomb
https://github.com/califio/publications/tree/main/MADBugs/http2-bomb