В Twisted Web нашли уязвимость HTTP/2 Rapid Reset с оценкой 7,5

Twisted Web до версии 26.4.0 включительно уязвим к удалённому отказу в обслуживании по технике HTTP/2 Rapid Reset (вариант CVE-2023-44487). Атакующий без аутентификации шлёт HEADERS и RST_STREAM в одном TCP-сегменте, обходя лимит одновременных потоков и нагружая CPU. Исправление — в Twisted 26.10.0rc1 с токен-бакетом на сбросы потоков.

• CVSS 7,5: неаутентифицированный удалённый DoS через HTTP/2 Rapid Reset
• Уязвимы Twisted Web <= 26.4.0, патч в 26.10.0rc1
• Токен-бакет: 1000 сбросов залпом и 33 в секунду, затем GOAWAY
• Есть proof-of-concept, обход лимита MAX_CONCURRENT_STREAMS