Go net/http und x/net/http2: Doppelte Rückgabe der Flusskontrolle im HTTP/2-Server
Zusammenfassung
Der HTTP/2-Server im Go-Paket net/http und in golang.org/x/net/http2 gibt die verbindungsbezogene Flusskontrolle zweimal für dieselben Daten zurück: einmal beim Zurücksetzen eines Streams durch den Client und erneut, wenn der Handler die gepufferten Daten liest. Ein entfernter, nicht authentifizierter Client kann dies ausnutzen, um das konfigurierte Limit MaxReceiveBufferPerConnection zu umgehen. Die gesamte gepufferte Datenmenge bleibt durch das Limit gleichzeitiger Streams und die stream-bezogene Flusskontrolle begrenzt, weshalb die Auswirkung begrenzt ist, aber die Verfügbarkeit und Integrität Go-basierter HTTP/2-Dienste beeinträchtigen kann.
Betroffen
- Go-Standardbibliothek net/http: vor go1.26.9, sowie go1.27.0 bis vor go1.27.2
- golang.org/x/net/http2: vor v0.60.0
- Drittsoftware, die mit betroffenen Go- oder x/net-Versionen erstellt wurde
Behoben in
- Go-Standardbibliothek: go1.26.9 und go1.27.2
- golang.org/x/net: v0.60.0 oder neuer
Umgehung
- Der Hersteller dokumentiert keine Workaround-Massnahme. Ein Upgrade ist die einzige dokumentierte Abhilfe.
- Die Einschränkung des Zugriffs auf den HTTP/2-Endpunkt über einen Reverse Proxy oder eine Firewall kann die Exposition verringern, doch bestätigt keine Quelle diese Massnahme als wirksam.
Ausnutzung
- Es wurden keine Hinweise auf eine aktive Ausnutzung gefunden.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- EPSS-Wert 0.00622 (Tenable).
Unsere Empfehlung
- Ermitteln Sie Go-basierte Dienste, APIs und Werkzeuge, die HTTP/2 bereitstellen, einschliesslich Drittsoftware und Container-Images.
- Aktualisieren Sie die Go-Toolchain auf go1.26.9 oder go1.27.2 und erstellen Sie betroffene Binaries neu.
- Aktualisieren Sie golang.org/x/net auf v0.60.0 oder neuer; prüfen Sie Distributionspakete, da einige Debian- und Ubuntu-Pakete bei der letzten Prüfung noch verwundbar waren.
- Priorisieren Sie aus dem Internet erreichbare Dienste, die HTTP/2 terminieren.
- Überwachen Sie ungewöhnliche Muster bei Verbindungen und Stream-Zurücksetzungen, bis das Patching abgeschlossen ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Go vulnerability database: GO-2026-6612 pkg.go.dev
- Go issue 81743 go.dev
- Go announcement: golang.org/x/net v0.60.0 security release groups.google.com
- Go issue 81743 on GitHub github.com
- Debian security tracker security-tracker.debian.org
- Ubuntu security notice ubuntu.com
- Tenable CVE page www.tenable.com
- OpsLevel terraform provider pull request 688 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:08.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.