PT-2026-137201

CVE-2026-55367

·

Publicado

2026-11-04

·

Atualizado

2026-11-04

Descrição por

CVSS 3.1
7.5
Alta
MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Nome do Software Vulnerável e Versões Afetadas h2o versões anteriores ao commit 4212ce114506a073505fd389db16ad2ba4e582a0
Description Existe um problema onde um cliente pode enviar um Capsule CONNECT-UDP incompleto com um comprimento declarado excessivamente grande. Isso faz com que o servidor continue armazenando bytes recebidos em buffer sem um limite por Capsule enquanto aguarda o restante dos dados. Em implantações onde proxy.connect-udp está habilitado e solicitações CONNECT-UDP são aceitas, isso pode levar ao esgotamento da memória do servidor e perda de disponibilidade.
Recommendations Atualize para a versão que contém o commit 4212ce114506a073505fd389db16ad2ba4e582a0. Desative a configuração proxy.connect-udp para evitar o processamento de solicitações CONNECT-UDP.
Explorabilidade
Correção
Impactos
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-770: Allocation of Resources Without Limits or Throttling
Identificadores relacionados
CVE-2026-55367
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com