TwistedのHTTP/2の脆弱性、1接続でCPUを使い切らせるおそれと、HTTP/2が有効かの確かめ方・26.10.0への更新（GHSA-vpp8-g58w-m8mp）

公式アドバイザリによると、相手がEND_STREAM付きの要求を送った直後にそのストリーム（1つの接続の中の個々の通信）を中止すると、Twistedは中止を処理する前に要求の振り分けと応答の作成を済ませてしまいます。中止されたストリームは同時に扱える数（100）の枠から外れ、中止の頻度を抑える仕組みも無かったため、1つの接続で同じことを繰り返すだけで、わずかな通信量でCPUの1コアを使い切らせることができます。[1]

影響はサービス停止（DoS）で、情報の漏えいや改ざん、コードの実行は無いとされています。深刻度は、Twistedの評価でCVSS 3.1の7.5（重要）です。2019年に直したHTTP/2の大量送信の問題（GHSA-32gv-6cf3-wcmq）の修正は、この経路を防いでいません。[1]

アドバイザリの対象はtwisted.webのHTTP/2サーバーです。ソースを見ると、HTTP/2の処理は追加の部品h2とpriority（twisted[http2]で入る）が読み込めたときだけ有効になり（H2_ENABLED）、そのときだけTLSの合意の候補にHTTP/2を出します。HTTP/2に切り替わるのは、TLSの接続でHTTP/2が合意されたときだけで、それ以外はHTTP/1.1で処理します。[1][5][6][8]

3行目は、ソースから見た当社の整理です。DjangoのASGIサーバーDaphneは、Twisted[tls,http2]を入れてssl:で起動するとHTTP/2を扱い、起動時に「HTTP/2 support enabled」と記録します。[9]

米CISAのKEVには、この攻撃の型であるHTTP/2の仕様の番号CVE-2023-44487が、2023年10月10日から載っています。2023年に実際の攻撃で使われた型です。Twistedのこの不具合そのものが悪用されたという記載は、11月1日の確認時点でTwistedのアドバイザリにもKEVにもありません。この件はCVEの番号が付いていないため、今後30日に悪用される見込みの推定（EPSS）もありません。[1][3]

アドバイザリには、攻撃の手順が文章で書かれています（コードは載っていません）。攻撃の型はよく知られているので、HTTP/2を外部に公開しているなら早めに更新します。[1]

推奨する版は、Twistedのアドバイザリ（26.4.0以前が対象、26.10.0rc1で修正）と、PyPIに公開済みの版から出しました（11月1日確認）。上げる前に、リリースノートで変更点を確かめてください。[1][2][4]

26.10.0には、他に6件の脆弱性の修正も入っています。リリースノートは、26.10.0がPython 3.10に対応する最後の版だとしています。Python 3.9で使える修正済みの版は無いので、3.9の環境ではPythonから上げます。[2][4][10]

1. 動いているPython環境で、Twistedとh2・priorityの版を確かめます。「Required-by」に、Twistedを必要としているパッケージ（Daphneなど）が出ます。

   ターミナル

   python -m pip show twisted h2 priority

2. TwistedのHTTP/2の処理が有効かを確かめます。Trueなら、TLSで待ち受けるサーバーはHTTP/2を受け付けます。

   ターミナル

   python -c "from twisted.web.http import H2_ENABLED; print(H2_ENABLED)"

3. 外から見て、そのサーバーがHTTP/2で応答するかを確かめます。「2」と出ればHTTP/2です。前段の機器があるときは、Twistedが直接応答しているかを構成と照らし合わせます。

   ターミナル

   curl -s --http2 -o /dev/null -w "%{http_version}\n" https://<ホスト>:<ポート>/

4. Pythonの版を確かめ、3.10以上なら26.10.0以上に上げます。ロックファイルに古い版が固定されていないかも確かめ、使っている場合はロックファイルも更新します。

   ターミナル

   python --version
   python -m pip install --upgrade "twisted>=26.10.0"
   grep -i -n "twisted" requirements*.txt poetry.lock uv.lock

5. サーバーを再起動し、動いている環境（コンテナなど）の中でもう一度版を確かめます。

   ターミナル

   docker exec <コンテナ名> python -m pip show twisted

公式のアドバイザリに回避策の記載はありません。条件から見ると、HTTP/2を使わない環境は影響の経路から外れます。h2が読み込めなければTwistedはHTTP/2を候補に出さず、HTTP/1.1だけで処理します。Daphneならhttp2の追加の部品を入れない形に戻します。これらはソースから見た当社の整理で、提供元が示した回避策ではありません。[5][6]

h2は他のパッケージ（HTTP/2を使うクライアントなど）が必要としていることもあるので、外す前にpip show h2の「Required-by」を確かめます。

26.10.0では、相手がストリームを中止する頻度に上限が付きました。ソースでは、中止は一度に1,000回まで、その後は毎秒33回ずつ回復し、使い切った接続はENHANCE_YOUR_CALMの理由を付けて切断します。設定を変えなくても初期設定で効きます。上限の値は名前が_で始まる内部の値で、設定項目としては公開されていません。[2][7]

Twistedのアドバイザリと、GitHub Advisory Database（日本時間10月30日に収録）のCVE欄は空欄です。一方で26.10.0のリリースノートは、この件を「CVE-2023-44487 (GHSA-vpp8-g58w-m8mp)」として載せています。CVE-2023-44487は2023年に多くの製品で同時に公表されたHTTP/2の仕様の番号です。[1][2][10]

このため、CVEの番号で照らし合わせる脆弱性スキャナーでは、2023年の他の製品の件と混ざったり、番号の無い件として出たりします。Twistedについては、GHSAの番号とTwistedの版で判断します（当社の整理）。

脆弱性の公表・更新一覧で、Pythonの関連情報を調べることもできます。