# Suricata 8.0.7 corrige quatre failles : contournement HTTP/2 et dénis de service

- Link: https://dpioch.aristeecampus.org/veille/suricata-8-0-7-corrige-quatre-failles-contournement-http-2-et-denis-de-service/
- Published: 2026-10-05T11:20:44+02:00
- Author: Admin

[⌊Capture réelle de la page source : OISF — avis de sécurité Suricata (GHSA)⌉⌊Capture
réelle de la page source : OISF — avis de sécurité Suricata (GHSA)⌉[

Page GitHub Security Advisories du dépôt OISF/suricata listant des avis GHSA publiés
le 29 septembre 2026 par jasonish, dont GHSA-pr5g-4m3f-p6m2 (threshold decision 
cache, High) et GHSA-hcq7-vc86-78cj (http brotli compression bomb, High). Capture
du 7 octobre 2026. [Consulter la source](https://github.com/OISF/suricata/security/advisories)

## Faits

 * **Produit :** Suricata (OISF), IDS/IPS
 * **Type :** Avis de sécurité de l’éditeur (GHSA)
 * **Publication :** 29 septembre 2026
 * **Correctif :** Suricata 8.0.7

| Avis | Composant | Effet | Gravité | 
| GHSA-wcfh-g7m3-63vr | HTTP/2 | Des trames HEADERS fragmentées avec métadonnées PRIORITY ou PADDED désynchronisent la table HPACK : règles et journalisation fondées sur les en-têtes contournées, blocage IPS possiblement inopérant. | CVSS 5.3 (moyenne) | 
| GHSA-45hj-mfpx-pmx5 | SMB1 | Des blocs lecture/écriture hors ordre sont mis en file sans limite : épuisement mémoire, arrêt possible de Suricata. | CVSS 7.5 (haute) | 
| GHSA-83q3-wv79-j337 | NFS | Même mécanisme que SMB1 sur le trafic NFS : consommation mémoire excessive, visibilité et disponibilité réduites en mode inline. | CVSS 7.5 (haute) | 
| GHSA-5gfg-hq5r-5v4m | LDAP | Une requête LDAP aux filtres profondément imbriqués épuise la pile d’un thread et arrête Suricata. L’analyse LDAP est active par défaut. | CVSS 7.5 (haute) |

## Analyse

_Interprétation personnelle, distincte des faits ci-dessus._

 * Un IDS/IPS arrêté ou aveugle est un angle mort pour le SOC : en mode inline, 
   un déni de service peut aussi couper le trafic.
 * La faille HTTP/2 est la plus insidieuse : rien ne plante, mais des requêtes passent
   sans être inspectées.
 * Suricata est en test dans mon homelab (recopie de port sur pve3) et a été déployé
   en IPS inline en centre de formation : vérifier la version installée avant toute
   mise en production.

## Remédiation

 * Mettre à jour vers Suricata 8.0.7.
 * Contournement proposé par l’éditeur, si l’inspection n’est pas nécessaire : désactiver
   l’analyse applicative SMB, NFS ou LDAP.
 * Superviser la mémoire et les redémarrages du processus Suricata.

## Sources

 * [Avis GHSA-wcfh-g7m3-63vr (HTTP/2)](https://github.com/OISF/suricata/security/advisories/GHSA-wcfh-g7m3-63vr)
 * [Avis GHSA-45hj-mfpx-pmx5 (SMB1)](https://github.com/OISF/suricata/security/advisories/GHSA-45hj-mfpx-pmx5)
 * [Avis GHSA-83q3-wv79-j337 (NFS)](https://github.com/OISF/suricata/security/advisories/GHSA-83q3-wv79-j337)
 * [Avis GHSA-5gfg-hq5r-5v4m (LDAP)](https://github.com/OISF/suricata/security/advisories/GHSA-5gfg-hq5r-5v4m)

**Niveau de confiance :** Élevé : publications de l’éditeur.

Fiche préparée par le workflow n8n de veille SOC (collecte du 5 octobre 2026), puis
relue et rédigée. [Comment cette veille est construite](https://dpioch.aristeecampus.org/methode-de-veille/).