{"id":37095,"date":"2019-10-31T22:15:43","date_gmt":"2019-10-31T19:15:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-razlichnyh-realizatsiyah-protokola-http-2-vyyavleno-8-dos-uyazvimostej\/"},"modified":"2019-10-31T22:15:43","modified_gmt":"2019-10-31T19:15:43","slug":"v-razlichnyh-realizatsiyah-protokola-http-2-vyyavleno-8-dos-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/v-razlichnyh-realizatsiyah-protokola-http-2-vyyavleno-8-dos-uyazvimostej","title":{"rendered":"In verschiedenen Implementierungen des HTTP\/2-Protokolls wurden 8 DoS-Schwachstellen entdeckt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Forscher von Netflix und Google entdeckten<\/a><\/noindex> haben in verschiedenen Implementierungen des Protokolls HTTP\/2 acht Schwachstellen identifiziert, die einen Dienstleistungsangriff durch das Senden von speziell formatierten Netzwerk-Request-Strom erm\u00f6glichen. Die Probleme betreffen in unterschiedlichem Ma\u00dfe die meisten HTTP-Server, die HTTP\/2 unterst\u00fctzen, und f\u00fchren zu einem Ersch\u00f6pfung der f\u00fcr den Arbeitsprozess verf\u00fcgbaren Speicherressourcen oder zu einer \u00fcberm\u00e4\u00dfigen CPU-Belastung. Updates zur Behebung der Schwachstellen sind bereits f\u00fcr nginx 1.16.1\/1.17.3<\/a><\/noindex> und H2O 2.2.6<\/a><\/noindex>, sind jedoch bisher nicht verf\u00fcgbar<\/a><\/noindex> f\u00fcr Apache httpd und andere Produkte.<\/a><\/noindex>.<\/p>\n

Die Probleme sind das Ergebnis von Komplikationen, die in das HTTP\/2-Protokoll eingef\u00fchrt wurden, im Zusammenhang mit der Verwendung bin\u00e4rer Strukturen, dem System zur Begrenzung von Datenstr\u00f6men innerhalb von Verbindungen, dem Mechanismus zur Priorisierung von Streams und dem Vorhandensein von ICMP-\u00e4hnlichen Steuer-Nachrichten, die auf der HTTP\/2-Verbindungsebene arbeiten (z. B. Ping-Operationen, Zur\u00fccksetzen und Konfigurieren von Streams). Viele Implementierungen haben nicht richtig den Steuerstream begrenzt, ineffizient die Priorit\u00e4tswarteschlange bei der Verarbeitung von Anfragen organisiert oder suboptimale Flusskontrollalgorithmen verwendet.<\/p>\n

Die meisten identifizierten Angriffsmethoden bestehen darin, dass bestimmte Anfragen an den Server gesendet werden, die eine gro\u00dfe Anzahl von Antworten generieren. Wenn der Client dabei keine Daten aus dem Socket liest und die Verbindung nicht trennt, wird die Antwort-Pufferwarteschlange auf der Serverseite kontinuierlich gef\u00fcllt. Ein solches Verhalten belastet das System zur Verwaltung der Warteschlangenverarbeitung von Netzwerkverbindungen und f\u00fchrt, abh\u00e4ngig von der Implementierung, zu einem Ersch\u00f6pfung der verf\u00fcgbaren Speicher oder CPU-Ressourcen.<\/p>\n

Festgestellte Schwachstellen:<\/p>\n