在 nghttp2 1.41.0 之前的版本中，过大的 HTTP/2 SETTINGS 框架负载会造成拒绝服务。在概念验证攻击中，恶意客户端会反复构建长度为 14,400 字节（2400 个单独的设置条目）的 SETTINGS 框架。此攻击会造成 CPU 使用率峰值达到 100％。nghttp2 v1.41.0 修复了此漏洞。存在针对此漏洞的变通方案。实现 nghttp2_on_frame_recv_callback 回调，如果所接收的框架为 SETTINGS 框架，且设置条目的数量很大（例如，大于 32），则断开连接。(CVE-2020-11080)

检测

Amazon Linux AMI：nghttp2 (ALAS-2020-1404)

high Nessus 插件 ID 139085

版本 1.3