30秒で判断
- 対応すべき人: Suricata 8.x をIDS/IPSとして運用し、
app-layer.protocols.doh2が有効（8.x では既定有効） - 対応不要な人: Suricata を利用していない、8.0.7 以降を使用している、doh2 解析を明示的に無効化している
- 確認コマンド:
suricata --build-infoおよびsuricata -Vでバージョンを確認
概要
Suricata はオープンソースのネットワーク侵入検知/防御（IDS/IPS）エンジンです。本脆弱性は、DoH2（DNS over HTTP/2）リクエストでHTTP1からHTTP2へのアップグレードが行われた際に発生する型混同です。実際の状態がHTTP1であるにもかかわらずHTTP2状態向けのクリーンアップコードが実行されるため、不正なfree（invalid free）が発生します。
この解析は app-layer.protocols.doh2 設定に依存し、当該設定は8.x系で既定有効です。監視対象トラフィックを処理するエンジン本体で発生するため、異常終了によるIDS/IPSの監視停止など、可用性への影響が懸念されます。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.4（CRITICAL） |
| CWE | CWE-843（型混同） |
| 攻撃の起点 | 監視対象のDoH2トラフィック（HTTP1→HTTP2アップグレード） |
影響を受けるソフトウェア
| 製品 | ベンダー | バージョン |
|---|---|---|
| Suricata | OISF | 8.0.7 より前（8.x） |
修正バージョンと回避策
Suricata 8.0.7 以降へアップデートしてください。即時アップデートが難しい場合は、app-layer.protocols.doh2 を無効化することで当該経路を回避できます（DoH2解析機能は失われます）。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。