Suricata, el motor de detección de intrusiones y análisis de tráfico, presenta una confusión de tipos (CWE-843) en su soporte DoH2 (DNS over HTTP/2) antes de la versión 8.0.7. El fallo ocurre cuando se procesa una solicitud DoH2 con un upgrade de HTTP1 a HTTP2: el código de limpieza del estado HTTP2 se ejecuta aunque el estado real sea HTTP1, lo que deriva en una liberación de memoria inválida (invalid free). La explotación requiere que la opción app-layer.protocols.doh2 esté habilitada, algo que es predeterminado en las versiones 8.x.
Con un CVSS de 9.4, el impacto potencial es crítico: un atacante podría provocar denegación de servicio o, en escenarios específicos, ejecución de código. Sin embargo, la probabilidad de explotación real en los próximos 30 días es baja según EPSS (0.4%, percentil 34%), lo que sugiere que aún no hay ataques masivos en curso. Se recomienda actualizar a Suricata 8.0.7 o superior, o deshabilitar DoH2 si no es necesario.
| CVE | CVE-2026-94083 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.4 / 10 |
| EPSS | 0.4% en 30 días (percentil 34) |
| CWE | CWE-843 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |