CVE:CVE-2021-43848
CNNVD:CNNVD-202202-081
h2o是新一代的 HTTP 服务器。与老一代的 HTTP 服务器相比，它不仅速度非常快，而且还为最终用户提供了更快的响应。
h2o 存在安全漏洞，该漏洞源于当以特定顺序接收 QUIC 帧时，h2o 的 HTTP/3 服务器端实现可能会被误导，将未初始化的内存视为已接收的 HTTP/3 帧。当 h2o 用作反向代理时，攻击者可以利用此漏洞将 h2o 的内部状态发送到攻击者或第三方控制的后端服务器。此外，如果有一个 HTTP 端点反映从客户端发送的流量，攻击者可以使用该反射器获取 h2o 的内部状态。此内部状态包括未加密形式的其他连接的流量和 TLS 会话票证。此漏洞存在于支持 HTTP/3 的 h2o 服务器中，位于提交 93af138 和 d1f0f65 之间。已发布的 h2o 版本均不受此漏洞影响。没有已知的解决方法。建议使用 HTTP/3 的未发布版本的 h2o 用户立即升级。
solution:Upgrade dena h2o to a higher version than 2021-12-20,and avoid the version (,2021-12-20)