{"id":110728,"date":"2023-10-11T03:10:14","date_gmt":"2023-10-11T01:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-protokole-http-2-zadejstvovannaya-v-krupnejshej-ddos-atake"},"modified":"2023-10-11T03:10:14","modified_gmt":"2023-10-11T01:10:14","slug":"uyazvimost-v-protokole-http-2-zadejstvovannaya-v-krupnejshej-ddos-atake","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-protokole-http-2-zadejstvovannaya-v-krupnejshej-ddos-atake","title":{"rendered":"S\u00e5rbarhed i HTTP\/2-protokollen, der blev udnyttet i den st\u00f8rste DDoS-angreb","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Google har registreret det st\u00f8rste DDoS-angreb p\u00e5 sin infrastruktur, med en intensitet p\u00e5 398 millioner anmodninger per sekund. Det nye angreb er 7 gange mere intenst end det tidligere rekordstore DDoS-angreb, hvor angriberne form\u00e5ede at generere en str\u00f8m af 47 millioner anmodninger per sekund. Til sammenligning vurderes den samlede trafik p\u00e5 hele internettet at v\u00e6re 1-3 milliarder anmodninger per sekund. Udover Google har ogs\u00e5 Amazon og Cloudflare v\u00e6ret udsat for angrebet. Muligheden for et nyt angreb er relateret til en s\u00e5rbarhed i HTTP\/2-protokollen (CVE-2023-44487), som g\u00f8r det muligt at sende en enorm m\u00e6ngde anmodninger til serveren med minimal belastning p\u00e5 klienten. <\/p>\n

Den nye angrebsteknik kaldes \"Rapid Reset\" og udnytter de muligheder for multiplexering, der tilbydes i HTTP\/2, til at danne en str\u00f8m af anmodninger inden for en allerede etableret forbindelse, uden at \u00e5bne nye netv\u00e6rksforbindelser og uden at vente p\u00e5 bekr\u00e6ftelse af modtagelsen af pakker. S\u00e5rbarheden betragtes som en konsekvens af mangler i HTTP\/2-protokollen, i hvilken det fremg\u00e5r, at ved fors\u00f8g p\u00e5 at \u00e5bne for mange str\u00f8mme, skal kun de str\u00f8mme, som overstiger gr\u00e6nsen, annulleres, men hele netv\u00e6rksforbindelsen m\u00e5 ikke lukkes. <\/p>\n

P\u00e5 samme m\u00e5de som tidligere anvendte metoder til at udf\u00f8re angreb p\u00e5 HTTP\/2 skabes der ogs\u00e5 i det nye angreb et stort antal str\u00f8mme inden for \u00e9n forbindelse. Den v\u00e6sentlige forskel ved det nye angreb er, at i stedet for at vente p\u00e5 et svar, sendes der et frame med RST_STREAM-flaget efter hver sendt anmodning, som \u00f8jeblikkeligt annullerer anmodningen. Annuleringen af anmodningen p\u00e5 et tidligt stadium g\u00f8r det muligt at undg\u00e5 omvendt trafik mod klienten og omg\u00e5 de begr\u00e6nsninger, der er til stede p\u00e5 HTTP-servere for det maksimale antal str\u00f8mme, der samtidigt kan \u00e5bnes i \u00e9n forbindelse over HTTP\/2. Dermed holder m\u00e6ngden af anmodninger, der sendes til HTTP-serveren, op med at afh\u00e6nge af forsinkelserne mellem afsendelse af anmodningen og modtagelse af svaret (RTT, round-trip time) og er kun begr\u00e6nset af b\u00e5ndbredden i forbindelsen.

\"S\u00e5rbarhed<\/center> <\/p>\n

Da angreb p\u00e5 klientsiden blot kr\u00e6ver at sende anmodninger uden at modtage svar, kan angrebet gennemf\u00f8res med minimale omkostninger. For eksempel blev et angreb registreret af Cloudflare med 201 millioner anmodninger pr. sekund udf\u00f8rt af en relativt lille botnet best\u00e5ende af 20.000 computere. P\u00e5 klientsiden server<\/a> er omkostningerne ved behandling af indkommende anmodninger v\u00e6sentligt h\u00f8jere, selvom de annulleres, da det er n\u00f8dvendigt at udf\u00f8re operationer som tildeling af datakonstruktioner til nye str\u00f8mme, parsing af anmodningen, udpakning af headeren og matchning af URL med ressourcen. Under angreb p\u00e5 omvendte proxyer kan angrebet sprede sig til backends, da proxyen kan n\u00e5 at omdirigere anmodningen til backend inden behandlingen af RST_STREAM-rammen. <\/p>\n

Angrebet kan kun udf\u00f8res p\u00e5 s\u00e5rbare servere, der underst\u00f8tter HTTP\/2 (et script til at tjekke for s\u00e5rbarhed i servere, v\u00e6rkt\u00f8jer til at udf\u00f8re angrebet). Der er endnu ikke registreret angreb p\u00e5 HTTP\/3, og muligheden for s\u00e5danne angreb er ikke fuldt ud analyseret, men repr\u00e6sentanter fra Google anbefaler udviklere servere<\/a> at tilf\u00f8je beskyttelsesforanstaltninger til implementeringen af HTTP\/3, der ligner dem, der er implementeret for at blokere angreb p\u00e5 HTTP\/2. <\/p>\n

S\u00e5rbarhedens p\u00e5virkning og tilg\u00e6ngeligheden af rettelser for HTTP-servere og proxyer: <\/p>\n