在 nghttp2 1.41.0 之前版本中，HTTP/2 SETTINGS 框架承載過大會造成拒絕服務。概念證明攻擊涉及惡意用戶端重複建構長度為 14,400 位元組 (2400 個個別設定項目) 的 SETTINGS 框架。攻擊會造成 CPU 尖峰達到 100％。nghttp2 v1.41.0 已修正此弱點。目前有針對此弱點的因應措施。實作 nghttp2_on_frame_recv_callback 回呼，如果收到的是 SETTINGS 框架，且設定項目數量偏大 (例如 > 32)，則中斷連線。(CVE-2020-11080)

偵測

Amazon Linux 2：nghttp2 (ALAS-2020-1445)

high Nessus Plugin ID 138047

版本 1.3