CVE-2024-39936
Publiée le 2024-07-04 · Dernière modification le 2026-06-17
Les applications utilisant des versions affectées du framework Qt pour les connexions HTTP/2 sont vulnérables à une erreur de synchronisation (timing error) permettant de contourner potentiellement les vérifications de sécurité avant que le chiffrement ne soit pleinement établi. Un attaquant distant peut exploiter cette faille via le réseau, sans aucune authentification ni interaction de l'utilisateur, pour potentiellement accéder à des données sensibles. Cette attaque est relativement facile à exécuter en raison de sa faible complexité et de l'absence de prérequis nécessaires.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue was discovered in HTTP2 in Qt before 5.15.18, 6.x before 6.2.13, 6.3.x through 6.5.x before 6.5.7, and 6.6.x through 6.7.x before 6.7.3. Code to make security-relevant decisions about an established connection may execute too early, because the encrypted() signal has not yet been emitted and processed..