{"id":114790,"date":"2024-04-04T18:25:42","date_gmt":"2024-04-04T16:25:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0"},"modified":"2024-04-04T18:25:42","modified_gmt":"2024-04-04T16:25:42","slug":"ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","title":{"rendered":"Continuation Flood-Angriffe, die zu Problemen auf Servern f\u00fchren, die HTTP\/2.0 verwenden.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Information \u00fcber die Angriffsmethode \u201eContinuation flood\u201c wurde ver\u00f6ffentlicht, die verschiedene Implementierungen des HTTP\/2-Protokolls betrifft, darunter Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net\/http2, Envoy, oghttp und nghttp2. Die Schwachstelle kann f\u00fcr Angriffe auf Server mit Unterst\u00fctzung f\u00fcr HTTP\/2.0 genutzt werden und f\u00fchrt je nach Implementierung zu einem Speicher\u00fcberlauf (Stopp der Anfragebearbeitung oder Absturz der Prozesse) oder zu einer hohen CPU-Auslastung (Verlangsamung der Anfragebearbeitung). Laut dem Entdecker der Schwachstelle ist dieses Problem gef\u00e4hrlicher als die im letzten Jahr entdeckte Schwachstelle \u201eRapid Reset\u201c, die f\u00fcr einige der damals gr\u00f6\u00dften DDoS-Angriffe genutzt wurde. <\/p>\n

Das hohe Gefahrenniveau wird dadurch erkl\u00e4rt, dass zur St\u00f6rung der Funktionsweise Server<\/a>, zum unerwarteten Beenden oder zu einer erheblichen Leistungsreduzierung die Erzeugung eines Flusses speziell gestalteter Anfragen von einem normalen Computer aus ausreicht. In bestimmten F\u00e4llen gen\u00fcgt sogar eine einzige TCP-Verbindung, um die Attacke durchzuf\u00fchren. Bei diesem Prozess hebt sich der mit der Attacke verbundene Datenverkehr in den Protokollen nicht von den gew\u00f6hnlichen Benutzeranfragen ab. <\/p>\n

Die Schwachstelle ergibt sich aus den Besonderheiten der Verarbeitung von HEADERS- und CONTINUATION-Frames in HTTP\/2-Anfragen. HEADERS-Frames werden in HTTP\/2 verwendet, um HTTP-Header zu \u00fcbertragen, w\u00e4hrend CONTINUATION-Frames dazu dienen, die \u00dcbertragung von HTTP-Headern in mehrere Phasen zu unterteilen (zum Beispiel, wenn nicht alle Header in einen Frame passen oder wenn zun\u00e4chst Header gesendet werden sollen, deren Werte zu diesem Zeitpunkt noch nicht bestimmt werden k\u00f6nnen). Bei der \u00dcbertragung von Headern in mehreren Schritten wird zun\u00e4chst ein HEADERS-Frame ohne das END_HEADERS-Flag gesendet, gefolgt von mehreren CONTINUATION-Frames mit zus\u00e4tzlichen Headern, und die Liste wird mit einem CONTINUATION-Frame mit dem END_HEADERS-Flag abgeschlossen. <\/p>\n

Die Angriffsmethode besteht darin, einen ununterbrochenen Strom von CONTINUATION-Frames ohne das Setzen des END_HEADERS-Flags zu senden. Eine solche Aktivit\u00e4t f\u00fchrt zu einer \u00dcbertragung von der Server<\/a> eine gro\u00dfe Anzahl von Headern, die der Server im Arbeitsspeicher speichert, bis der f\u00fcr den Prozess verf\u00fcgbare Speicher ersch\u00f6pft ist. Um eine hohe CPU-Last zu erzeugen, kann der Angreifer zus\u00e4tzlich zur Ersch\u00f6pfung des Speichers die Komprimierung des Inhalts der CONTINUATION-Frames mit dem HPACK-Format nutzen, dessen Analyse Rechenleistung erfordert. Bei Implementierungen des HTTP\/1.1-Protokolls wurde zum Schutz vor einer Flut von Headern eine Begrenzung der Headergr\u00f6\u00dfe und ein Zeitlimit f\u00fcr die Verbindungs\u00fcbertragung angewendet. F\u00fcr HTTP\/2 wurden aufgrund der Komplexit\u00e4t des Protokolls von vielen Implementierungen solche Schutzmethoden gegen unendliches Senden von Headern nicht ber\u00fccksichtigt. <\/p>\n

Die gr\u00f6\u00dfte Gefahr stellt die Schwachstelle f\u00fcr Node.js-Nutzer (CVE-2024-27983) dar, da diese Implementierung einen Absturz durch das Senden von nur wenigen Frames an den Server erm\u00f6glicht. Aufgrund eines Race Conditions in Node.js gen\u00fcgt es, die Verbindung w\u00e4hrend der \u00dcbertragung eines unvollst\u00e4ndigen Header-Streams zu beenden, um einen Notausstieg durch das Ausl\u00f6sen der Assert-\u00dcberpr\u00fcfung zu verursachen (es tritt ein Absturz auf, wenn w\u00e4hrend der Schlie\u00dfung der Verbindungen noch kein CONTINUATION-Frame mit dem END_HEADERS-Flag empfangen wurde). Die Schwachstelle wurde in Node.js 18.20.1, 21.7.2 und 20.12.1 sowie in den neuesten Versionen der Bibliotheken llhttp und undici behoben. In den neuen Versionen von Node.js wurde zudem eine weniger gef\u00e4hrliche Schwachstelle (CVE-2024-27982) der Kategorie \u201erequest smuggling\u201c behoben, die es erm\u00f6glicht, durch Manipulation des Wertes \u201eContent Length\u201c in den Inhalt von Anfragen anderer Nutzer, die im selben Thread zwischen Frontend und Backend verarbeitet werden, einzudringen. <\/p>\n

Schwachstellen im Zusammenhang mit der Verarbeitung von CONTINUATION in anderen Implementierungen von HTTP\/2.0: <\/p>\n