Twisted : déni de service dans le serveur HTTP/2 via des réinitialisations rapides de flux

Veille sécuritéBackend & données

P1Élevée

Une faille de déni de service dans le serveur HTTP/2 de Twisted permet à un client distant non authentifié de provoquer un travail de rendu répété des requêtes et d’épuiser le processeur. L’avis publié dans la période identifie CVE-2023-44487 ; les versions jusqu’à 26.4.0 sont indiquées comme affectées et 26.10.0rc1 comme version corrigée.

IdentifiantCVE-2023-44487

GravitéÉlevée

Exploitationconfirmée dans la nature

Correctif26.10.0rc1

Source : GHSA-vpp8-g58w-m8mp — Twisted: Unauthenticated Remote Denial of Service in the Twisted HTTP/2 Server via Rapid Stream Reset

Analyse technique

Dans le traitement HTTP/2, une requête terminée par END_STREAM est rendue avant le traitement du RST_STREAM. La réinitialisation libère ensuite le flux sans limiter le rythme des requêtes ainsi traitées.

Impact, versions et correctif

Événement datéL’avis GitHub a été publié le 2026-10-29. Il décrit une faille associée à CVE-2023-44487, et non une CVE nouvellement attribuée à cette date.

ImpactUn client distant non authentifié peut provoquer une consommation excessive du processeur et rendre le service indisponible.

Versions affectées<= 26.4.0

Version corrigée26.10.0rc1

Exploitation activeconfirmée dans la nature

PoC publicinconnu

CVSS7.5

EPSS100,00% · percentile 100,0%

Publication2026-10-29T16:41:06Z

Mise à jour2026-10-29T16:41:06Z

Action recommandée

Mettre à jour Twisted vers la version corrigée indiquée par l’avis ; protéger les serveurs HTTP/2 exposés jusqu’à cette mise à jour.

Sources

Priorisation DFS : P1 · 2 source(s).