{"id":37095,"date":"2019-10-31T22:15:43","date_gmt":"2019-10-31T19:15:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-razlichnyh-realizatsiyah-protokola-http-2-vyyavleno-8-dos-uyazvimostej\/"},"modified":"2019-10-31T22:15:43","modified_gmt":"2019-10-31T19:15:43","slug":"v-razlichnyh-realizatsiyah-protokola-http-2-vyyavleno-8-dos-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-razlichnyh-realizatsiyah-protokola-http-2-vyyavleno-8-dos-uyazvimostej","title":{"rendered":"Es wurden 8 DoS-Schwachstellen in verschiedenen Implementierungen des HTTP\/2-Protokolls entdeckt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Forschende von Netflix und Google haben<\/a><\/noindex> in verschiedenen Implementierungen des HTTP\/2-Protokolls acht Schwachstellen erkannt, die einen Denial-of-Service-Angriff durch die gezielte \u00dcbermittlung eines speziell formatierten Streams von Netzwerkanfragen erm\u00f6glichen. Die Probleme betreffen mehr oder weniger die meisten HTTP-Server mit Unterst\u00fctzung f\u00fcr HTTP\/2 und f\u00fchren entweder zu einem Mangel an verf\u00fcgbarer Arbeitsspeicher oder zu einer \u00fcberm\u00e4\u00dfigen CPU-Auslastung. Updates zur Behebung dieser Schwachstellen wurden bereits in nginx 1.16.1\/1.17.3<\/a><\/noindex> und H2O 2.2.6<\/a><\/noindex>, sind jedoch derzeit nicht verf\u00fcgbar<\/a><\/noindex> f\u00fcr Apache httpd und andere Produkte<\/a><\/noindex>.<\/p>\n

Die Probleme resultierten aus den im HTTP\/2-Protokoll eingef\u00fchrten Komplikationen, die mit der Verwendung bin\u00e4rer Strukturen, dem Datenstromlimitierungssystem innerhalb von Verbindungen, dem Stream-Priorisierungsmechanismus sowie ICMP-\u00e4hnlichen Kontrollnachrichten, die auf der HTTP\/2-Verbindungsebene arbeiten (z. B. Ping-Operationen, R\u00fccksetzungen und Steuerungen des Streams), verbunden sind. Viele Implementierungen haben die Fl\u00fcsse der Kontrollnachrichten nicht ordnungsgem\u00e4\u00df begrenzt, organisierten die Priorit\u00e4tswarteschlange bei der Anfragebearbeitung ineffizient oder nutzten suboptimale Implementierungen von Flusssteuerungsalgorithmen.<\/p>\n

Die meisten identifizierten Angriffsarten bestehen darin, bestimmte Anfragen an den Server zu senden, die eine gro\u00dfe Zahl von Antworten generieren. Wenn der Client dabei keine Daten aus dem Socket liest und die Verbindung nicht trennt, wird die Antwortpuffer-Warteschlange auf der Serverseite kontinuierlich gef\u00fcllt. Dieses Verhalten erzeugt eine Belastung f\u00fcr das System zur Verwaltung der Netzwerkverbindungswarteschlangen und f\u00fchrt, je nach den spezifischen Implementierungsmerkmalen, zu einem Ersch\u00f6pfen des verf\u00fcgbaren Speichers oder CPU-Ressourcen.<\/p>\n

Identifizierte Schwachstellen:<\/p>\n