- Yama var
- Son 7 gün
- CWE-787
CVE-2026-55368
h2o erişim günlüğü biçimlendiricisinde arabellek taşması
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, web sunucusunun beklenmedik şekilde çökmesine ve hizmet kesintisine yol açabilir. Saldırganın daha ileri bir etki elde edip edemeyeceği belirsizdir, ancak ciddiyet yüksek olarak derecelendirilmiştir. Sunucuyu kullanan hizmetlerin kesintisiz çalışması için yamanın mümkün olan en kısa sürede uygulanması önerilir.
ÖzetTürkçe
h2o HTTP sunucusunda, özel erişim günlüğü (access-log) biçimi tanımlandığında günlük satırı için ayrılmış arabelleğin dışına yazma yapılabiliyor. Sorun %{error}x, boş sorgu dizesi olduğunda %q ve sayısal öğelerde ortaya çıkıyor. Etkilenen sürümler, düzeltme commit'inden (48b7ae12107fd2b118e4641da49599e9aac8edd8) önceki h2o sürümleridir.
Saldırgan ne yapabilir?
Uzaktan gönderilen uygun bir istek sunucunun çökmesine neden olabilir. Bir baytlık NUL yazımının çökmenin ötesinde nasıl bir etki doğurabileceği netleştirilmemiştir.
Kaynaktaki açıklama (İngilizce)
h2o is an HTTP server with support for HTTP/1.x, HTTP/2 and HTTP/3. Prior to commit 48b7ae12107fd2b118e4641da49599e9aac8edd8, H2O's access-log formatter could write past its log-line buffer when an affected custom access-log format was configured. The allocation errors affected %{error}x, %q when the query string was empty, and numeric elements whose temporary terminating NUL reached the end of the buffer. A matching request could crash the server, while the effect of the one-byte NUL overwrite beyond a crash was not established. This vulnerability is fixed with commit 48b7ae12107fd2b118e4641da49599e9aac8edd8.
Ne yapmalı?
- h2o'yu, 48b7ae12107fd2b118e4641da49599e9aac8edd8 commit'ini içeren düzeltilmiş sürüme güncelleyin. Üretici
- Güncelleme yapılana kadar, özel erişim günlüğü biçimlerinde %{error}x, %q ve sayısal öğe kullanımını gözden geçirin ve mümkünse bu biçimleri geçici olarak sadeleştirin. Genel öneri
- Güncellemeden sonra sunucunun düzgün başladığını ve günlük biçimlerinin beklendiği gibi çalıştığını doğrulayın. Genel öneri
Ek önlemler
- Sunucu çökmeleri ve beklenmedik yeniden başlatmaları için sistem ve uygulama günlüklerini izleyin. Genel öneri
- Sunucu sürümlerini ve kullanılan özel günlük biçimlerini envanter listesinde tutarak güncelleme takibini kolaylaştırın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| h2o | < 48b7ae12107fd2b118e4641da49599e9aac8edd8 | 48b7ae12107fd2b118e4641da49599e9aac8edd8 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.