Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en HTTP/2 Apache (CVE-2023-43622)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-400 Consumo de recursos no controlado (Agotamiento de recursos)
Fecha de publicación:
23/10/2023
Última modificación:
13/02/2025

Descripción

Un atacante, al abrir una conexión HTTP/2 con un tamaño de ventana inicial de 0, pudo bloquear el manejo de esa conexión indefinidamente en el servidor HTTP Apache. Esto podría usarse para agotar los recursos de los trabajadores en el servidor, similar al conocido patrón de ataque "slow loris". Esto se solucionó en la versión 2.4.58, de modo que dicha conexión finalice correctamente después del tiempo de espera de conexión configurado. Este problema afecta al servidor HTTP Apache: desde 2.4.55 hasta 2.4.57. Se recomienda a los usuarios actualizar a la versión 2.4.58, que soluciona el problema.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:apache:http_server:*:*:*:*:*:*:*:* 2.4.55 (incluyendo) 2.4.58 (excluyendo)