GHSA-VPP8-G58W-M8MP

Twisted: Unauthenticated Remote Denial of Service in the Twisted HTTP/2 Server via Rapid Stream Reset

CVSS 3.1High

N/A/ 10.0

Опубликовано

29 октября 2026 г.

Обновлено

29 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 26.10.0rc1

Обновить Twisted до актуальной версии с ограничением частоты сброса потоков (патч против атаки Rapid Reset, CVE-2023-44487).

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Сервер Twisted HTTP/2 подвержен атаке Rapid Reset, приводящей к исчерпанию ресурсов CPU по одному соединению.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

H2Connection.dataReceived обрабатывает запросы до сброса потока, а сброшенные стримы не учитываются лимитом и не имеют рейт-лимита.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Удаленный неаутентифицированный отказ в обслуживании (DoS) из-за предельной утилизации CPU при отправке потока сбросов запросов.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

——

>= 0➔Fix: 26.10.0rc1

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)

github.comhttps://github.com/twisted/twisted/security/advisories/GHSA-vpp8-g58w-m8mp
github.comhttps://github.com/twisted/twisted/pull/12749
github.comhttps://github.com/twisted/twisted/commit/498939422b69d5a75c4b8f81fa7926423dac534d
github.comhttps://github.com/twisted/twisted
github.comhttps://github.com/twisted/twisted/releases/tag/twisted-26.10.0rc1
nvd.nist.govhttps://nvd.nist.gov/vuln/detail/cve-2023-44487

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости GHSA-VPP8-G58W-M8MP: Twisted: Unauthenticated Remote Denial of Service in the Twisted HTTP/2 Server via Rapid Stream Reset. URL: https://cve.futuretools.ru/cve/GHSA-VPP8-G58W-M8MP

BibTeX формат (LaTeX)

@misc{cve_futuretools_ghsa_vpp8_g58w_m8mp,
  title = {{GHSA-VPP8-G58W-M8MP: Twisted: Unauthenticated Remote Denial of Service in the Twisted HTTP/2 Server via Rapid Stream Reset}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/GHSA-VPP8-G58W-M8MP}},
  note = {Оперативный инженерный анализ киберугроз}
}