部分 HTTP/2 實作存有視窗大小操控及串流優先排序操控弱點，可能因而導致拒絕服務。攻擊者透過多重串流向特定資源要求大量資料。這些攻擊者會操控視窗大小及串流優先順序，迫使伺服器將資料排入 1 位元組區塊。根據此資料的佇列效率而定，此狀況可消耗過多 CPU、記憶體或兩者。(CVE-2019-9511) 有些 HTTP/2 實作容易發生標頭洩露，可能進而導致拒絕服務。攻擊者可將大量含有 0 長度標頭名稱及 0 長度標頭值的標頭 (選擇性採用 Huffman 編碼) 傳送到 1 位元組或更高位元組的標頭中。某些實作會為這些標頭配置記憶體，並將配置保持現用狀態，直到工作階段終結。這可能會耗用過量的記憶體。(CVE-2019-9516) 部分 HTTP/2 實作容易受到不受限制的內部資料緩衝影響，進而可能導致拒絕服務。攻擊者會開啟 HTTP/2 視窗，因此對等端可以不受限制地傳送；但是它們會使 TCP 視窗關閉，因此對等端在連線時，無法實際寫入 (許多) 位元組。接著，攻擊者會針對大型回應物件傳送要求串流。根據伺服器佇列回應的方式而定，這可能會消耗過量的記憶體、CPU 或兩者。(CVE-2019-9517)

偵測

Amazon Linux 2：mod_http2 (ALAS-2019-1342) (0 長度標頭洩漏) (Data Dribble) (內部資料緩衝)

high Nessus Plugin ID 130401

版本 1.3