{"id":114790,"date":"2024-04-04T18:25:42","date_gmt":"2024-04-04T16:25:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0"},"modified":"2024-04-04T18:25:42","modified_gmt":"2024-04-04T16:25:42","slug":"ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","title":{"rendered":"Continuation flood-angreb, der for\u00e5rsager problemer p\u00e5 servere, der bruger HTTP\/2.0","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Oplysninger er blevet afsl\u00f8ret om angrebsm\u00e5den \"Continuation flood\", der p\u00e5virker forskellige implementeringer af HTTP\/2-protokollen, herunder Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net\/http2, Envoy, oghttp og nghttp2. S\u00e5rbarheden kan udnyttes til at udf\u00f8re angreb mod servere, der underst\u00f8tter HTTP\/2.0, og afh\u00e6ngigt af implementeringen kan det f\u00f8re til hukommelsesudt\u00f8mning (stop af behandlingen af foresp\u00f8rgsler eller nedbrud af processer) eller skabe h\u00f8j CPU-belastning (nedsat behandling af foresp\u00f8rgsler). If\u00f8lge den forsker, der opdagede s\u00e5rbarheden, er det identificerede problem mere farligt end s\u00e5rbarheden \"Rapid Reset\", der blev fundet sidste \u00e5r og brugt til at udf\u00f8re den st\u00f8rste DDoS-angreb p\u00e5 det tidspunkt. <\/p>\n

Det h\u00f8je niveau af fare skyldes, at det er tilstr\u00e6kkeligt at skabe en str\u00f8m af specielt udformede anmodninger fra en almindelig computer for at forstyrre driften server<\/a>, for\u00e5rsage utilsigtet afslutning eller alvorligt neds\u00e6tte ydeevnen. I visse tilf\u00e6lde er det endda tilstr\u00e6kkeligt med \u00e9n TCP-forbindelse for at udf\u00f8re angrebet. Samtidig skelnes den trafik, der er relateret til angrebet, ikke tydeligt i logfilerne i forhold til almindelige brugerforesp\u00f8rgsler. <\/p>\n

S\u00e5rbarheden skyldes s\u00e6regenhederne ved behandlingen af HEADERS og CONTINUATION rammer i HTTP\/2-anmodninger. HEADERS rammer bruges i HTTP\/2 til at overf\u00f8re HTTP-overskrifter, mens CONTINUATION rammer bruges til at opdele overf\u00f8rslen af HTTP-overskrifter i flere trin (f.eks. n\u00e5r overskrifterne ikke passer ind i \u00e9n ramme, eller n\u00e5r man f\u00f8rst skal sende overskrifter, der kan udfyldes p\u00e5 det nuv\u00e6rende trin, og derefter sende de overskrifter, hvis v\u00e6rdier for nuv\u00e6rende ikke kan bestemmes). N\u00e5r overskrifter sendes i flere trin, sendes en HEADERS ramme f\u00f8rst uden END_HEADERS flaget, efterfulgt af flere CONTINUATION rammer med yderligere overskrifter og afsluttes med en CONTINUATION ramme med END_HEADERS flaget. <\/p>\n

Angrebsmetoden indeb\u00e6rer at sende en uoph\u00f8rlig str\u00f8m af CONTINUATION rammer uden at s\u00e6tte END_HEADERS flaget. En s\u00e5dan aktivitet resulterer i transmission af server<\/a> et stort antal overskrifter, som serveren gemmer i hukommelsen, indtil den tilg\u00e6ngelige proceshukommelse er udt\u00f8mt. For at skabe h\u00f8j CPU-belastning kan angriberen, udover at udt\u00f8mme hukommelsen, udnytte komprimering af indholdet af CONTINUATION-rammer ved at bruge HPACK-formatet, hvis parsing kr\u00e6ver beregninger. I implementeringer af HTTP\/1.1 blev der anvendt en gr\u00e6nse for st\u00f8rrelsen af overskrifter og en timeout for forsendelse af forbindelsen for at beskytte mod oversv\u00f8mmelse af serveren med overskrifter. For HTTP\/2, p\u00e5 grund af protokollens kompleksitet, har mange implementeringer ikke forudset lignende beskyttelsesmetoder mod uendelig afsendelse af overskrifter. <\/p>\n

S\u00e5rbarheden udg\u00f8r den st\u00f8rste risiko for brugere af Node.js (CVE-2024-27983), da denne implementering tillader nedbrud efter sending af blot nogle f\u00e5 frames til serveren. P\u00e5 grund af en race condition i Node.js er det tilstr\u00e6kkeligt at afslutte forbindelserne under sendingen af en ufuldendt header stream for at for\u00e5rsage et nedbrud via udl\u00f8sning af Assert-kontrollen (nedbrud, hvis der ikke er modtaget en CONTINUATION frame med END_HEADERS-flaget under lukningen af forbindelserne). S\u00e5rbarheden er blevet rettet i Node.js versioner 18.20.1, 21.7.2 og 20.12.1, samt i de nyeste versioner af bibliotekerne llhttp og undici. I de nye versioner af Node.js er der ogs\u00e5 rettet en mindre farlig s\u00e5rbarhed (CVE-2024-27982) af typen \"request smuggling\", der tillader manipulation af \"Content Length\" for at indlejre sig i indholdet af foresp\u00f8rgsler fra andre brugere, der behandles i samme tr\u00e5d mellem frontend og backend. <\/p>\n

S\u00e5rbarheder relateret til behandling af CONTINUATION i andre HTTP\/2.0-implementeringer: <\/p>\n