{"id":114790,"date":"2024-04-04T18:25:42","date_gmt":"2024-04-04T16:25:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0"},"modified":"2024-04-04T18:25:42","modified_gmt":"2024-04-04T16:25:42","slug":"ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","title":{"rendered":"Continuation Flood-Angriff, der zu Problemen auf Servern f\u00fchrt, die HTTP\/2.0 verwenden","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Details have been revealed about the \"Continuation flood\" attack method, affecting various implementations of the HTTP\/2 protocol, including Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net\/http2, Envoy, oghttp, and nghttp2. The vulnerability can be exploited to attack servers supporting HTTP\/2.0 and depending on the implementation, it leads to memory exhaustion (stopping request processing or crashing processes) or creates high CPU load (slowing request processing). According to the researcher who discovered the vulnerability, this issue is more dangerous than the \"Rapid Reset\" vulnerability found last year, which was used to carry out the largest DDoS attacks at that time. <\/p>\n

Das hohe Gefahrenniveau erkl\u00e4rt sich aus der Tatsache, dass zur St\u00f6rung der Funktionsweise Server<\/a>, zum Abbruch oder zur erheblichen Verringerung der Leistung bereits der Versand eines Stroms speziell gestalteter Anfragen von einem normalen Computer aus gen\u00fcgt. In bestimmten F\u00e4llen reicht sogar eine einzige TCP-Verbindung aus, um einen Angriff durchzuf\u00fchren. Der damit verbundene Datenverkehr wird in den Protokollen nicht von normalen Benutzeranfragen unterschieden. <\/p>\n

Die Schwachstelle wird durch Besonderheiten der Verarbeitung von HEADERS- und CONTINUATION-Rahmen in HTTP\/2-Anfragen verursacht. HEADERS-Rahmen werden in HTTP\/2 zur \u00dcbertragung von HTTP-Headern verwendet, w\u00e4hrend CONTINUATION-Rahmen dazu dienen, die \u00dcbertragung von HTTP-Headern in mehrere Phasen zu unterteilen (zum Beispiel, wenn die Header nicht in einen Rahmen passen oder wenn zun\u00e4chst Header gesendet werden sollen, die in dieser Phase ausgef\u00fcllt werden k\u00f6nnen, gefolgt von Headern, deren Werte derzeit nicht bestimmt werden k\u00f6nnen). Bei der \u00dcbertragung von Headern in mehreren Phasen wird zun\u00e4chst ein HEADERS-Rahmen ohne das END_HEADERS-Flag gesendet, gefolgt von mehreren CONTINUATION-Rahmen mit zus\u00e4tzlichen Headern, und die Liste wird mit einem CONTINUATION-Rahmen mit dem END_HEADERS-Flag abgeschlossen. <\/p>\n

Die Angriffsmethode besteht darin, einen kontinuierlichen Strom von CONTINUATION-Rahmen ohne Setzen des END_HEADERS-Flags zu senden. Eine derartige Aktivit\u00e4t f\u00fchrt zu einer \u00dcbertragung von Server<\/a> Eine gro\u00dfe Anzahl von Headern, die der Server im Arbeitsspeicher speichert, bis der verf\u00fcgbare Speicher f\u00fcr den Prozess ersch\u00f6pft ist. Um eine hohe CPU-Belastung zu erzeugen, kann der Angreifer zus\u00e4tzlich zur Ersch\u00f6pfung des Speichers die Kompression des Inhalts der CONTINUATION-Frames unter Verwendung des HPACK-Formats nutzen, dessen Analyse Rechenleistung erfordert. In Implementierungen des Protokolls HTTP\/1.1 wurde als Schutz vor Server\u00fcberflutung mit Headern eine Gr\u00f6\u00dfenbeschr\u00e4nkung f\u00fcr Header und ein Timeout f\u00fcr die Verbindungssendungszeit verwendet. Bei HTTP\/2 haben viele Implementierungen aufgrund der Komplexit\u00e4t des Protokolls solche Schutzmethoden gegen unendliche Header\u00fcbertragungen nicht vorgesehen. <\/p>\n

The vulnerability poses the greatest threat to Node.js users (CVE-2024-27983), as this implementation allows crashing by sending just a few frames to the server. Due to a race condition in Node.js, triggering a crash through an Assert check requires only that connections be terminated during the sending of an incomplete header stream (it crashes if the CONTINUATION frame with the END_HEADERS flag has not yet been received when closing the connections). The vulnerability has been fixed in Node.js versions 18.20.1, 21.7.2, and 20.12.1, as well as in recent releases of the llhttp and undici libraries. The newer versions of Node.js have also addressed a less dangerous vulnerability (CVE-2024-27982) of the \"request smuggling\" class, which allows manipulation of the \"Content Length\" value to inject into the content of requests from other users being processed in the same thread between the frontend and the backend. <\/p>\n

Schwachstellen im Zusammenhang mit der Verarbeitung von CONTINUATION in anderen Implementierungen von HTTP\/2.0: <\/p>\n