CVE-2026-105297

Pingora HTTP/2 server memory exhaustion through unbounded default header-list and concurrent-stream limits

CVSS 3.1High

7.5/ 10.0

Опубликовано

20 октября 2026 г.

Обновлено

20 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 0.8.1

Обновите Pingora до версии 0.8.1 или выше либо вручную задайте max_header_list_size и ограничения на число параллельных потоков в конфигурации приложения.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Утечка памяти и отказ в обслуживании в HTTP/2-сервере Pingora из-за отсутствия лимита параллельных потоков и декодирования заголовков.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Сервер Pingora до версии 0.8.1 по умолчанию наследовал параметры h2 crate: лимит на декодированный список заголовков в 16 MiB и отсутствие ограничений на число параллельных потоков. Удаленный неаутентифицированный клиент передает 1-байтовые HPACK-ссылки на пустые заголовки, принуждая процесс аллоцировать сотни тысяч полей на поток при бесконечном числе потоков, удерживая их открытыми через управление потоком HTTP/2.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Исчерпание оперативной памяти хоста (OOM), деградация производительности или аварийное завершение процесса Pingora (DoS) при терминации HTTP/2 (h2/h2c).

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Cloudflarehttps://github.com/cloudflare/pingora

>= 0.1.0➔Fix: 0.8.1

——

>= 0.0.0-0➔Fix: 0.8.1

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)

github.comhttps://github.com/cloudflare/pingora

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-105297: Pingora HTTP/2 server memory exhaustion through unbounded default header-list and concurrent-stream limits. URL: https://cve.futuretools.ru/cve/CVE-2026-105297

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_105297,
  title = {{CVE-2026-105297: Pingora HTTP/2 server memory exhaustion through unbounded default header-list and concurrent-stream limits}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-105297}},
  note = {Оперативный инженерный анализ киберугроз}
}