Suricata 8.0.7 corrige quatre failles : contournement HTTP/2 et dénis de service
Le 29 septembre 2026, l’OISF a publié quatre avis de sécurité pour Suricata, tous corrigés en version 8.0.7 : un contournement de l’inspection HTTP/2 et trois dénis de service (SMB1, NFS, LDAP).
Faits
- Produit : Suricata (OISF), IDS/IPS
- Type : Avis de sécurité de l’éditeur (GHSA)
- Publication : 29 septembre 2026
- Correctif : Suricata 8.0.7
| Avis | Composant | Effet | Gravité |
|---|---|---|---|
| GHSA-wcfh-g7m3-63vr | HTTP/2 | Des trames HEADERS fragmentées avec métadonnées PRIORITY ou PADDED désynchronisent la table HPACK : règles et journalisation fondées sur les en-têtes contournées, blocage IPS possiblement inopérant. | CVSS 5.3 (moyenne) |
| GHSA-45hj-mfpx-pmx5 | SMB1 | Des blocs lecture/écriture hors ordre sont mis en file sans limite : épuisement mémoire, arrêt possible de Suricata. | CVSS 7.5 (haute) |
| GHSA-83q3-wv79-j337 | NFS | Même mécanisme que SMB1 sur le trafic NFS : consommation mémoire excessive, visibilité et disponibilité réduites en mode inline. | CVSS 7.5 (haute) |
| GHSA-5gfg-hq5r-5v4m | LDAP | Une requête LDAP aux filtres profondément imbriqués épuise la pile d’un thread et arrête Suricata. L’analyse LDAP est active par défaut. | CVSS 7.5 (haute) |
Analyse
Interprétation personnelle, distincte des faits ci-dessus.
- Un IDS/IPS arrêté ou aveugle est un angle mort pour le SOC : en mode inline, un déni de service peut aussi couper le trafic.
- La faille HTTP/2 est la plus insidieuse : rien ne plante, mais des requêtes passent sans être inspectées.
- Suricata est en test dans mon homelab (recopie de port sur pve3) et a été déployé en IPS inline en centre de formation : vérifier la version installée avant toute mise en production.
Remédiation
- Mettre à jour vers Suricata 8.0.7.
- Contournement proposé par l’éditeur, si l’inspection n’est pas nécessaire : désactiver l’analyse applicative SMB, NFS ou LDAP.
- Superviser la mémoire et les redémarrages du processus Suricata.
Sources
- Avis GHSA-wcfh-g7m3-63vr (HTTP/2)
- Avis GHSA-45hj-mfpx-pmx5 (SMB1)
- Avis GHSA-83q3-wv79-j337 (NFS)
- Avis GHSA-5gfg-hq5r-5v4m (LDAP)
Niveau de confiance : Élevé : publications de l’éditeur.
Fiche préparée par le workflow n8n de veille SOC (collecte du 5 octobre 2026), puis relue et rédigée. Comment cette veille est construite.