{"id":114790,"date":"2024-04-04T18:25:42","date_gmt":"2024-04-04T16:25:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0"},"modified":"2024-04-04T18:25:42","modified_gmt":"2024-04-04T16:25:42","slug":"ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","title":{"rendered":"El ataque de Continuation flood est\u00e1 causando problemas en los servidores que utilizan HTTP\/2.0","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Se han revelado detalles sobre el m\u00e9todo de ataque \u00abContinuation flood\u00bb, que afecta a varias implementaciones del protocolo HTTP\/2, incluyendo Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net\/http2, Envoy, oghttp y nghttp2. La vulnerabilidad puede ser utilizada para llevar a cabo ataques en servidores que soportan HTTP\/2.0 y, dependiendo de la implementaci\u00f3n, puede conducir a un agotamiento de memoria (interrupci\u00f3n del procesamiento de solicitudes o finalizaci\u00f3n inesperada de procesos) o a una alta carga en la CPU (retraso en el procesamiento de solicitudes). Seg\u00fan el investigador que descubri\u00f3 la vulnerabilidad, el problema identificado es m\u00e1s peligroso que la vulnerabilidad \u00abRapid Reset\u00bb encontrada el a\u00f1o pasado, la cual fue utilizada para llevar a cabo algunos de los ataques DDoS m\u00e1s grandes en ese momento. <\/p>\n

El alto nivel de peligrosidad se explica por el hecho de que para interrumpir el funcionamiento servidores<\/a>, causar una finalizaci\u00f3n anormal o una disminuci\u00f3n grave del rendimiento, es suficiente con generar un flujo de solicitudes espec\u00edficamente dise\u00f1adas desde una computadora com\u00fan. En ciertos casos, incluso una sola conexi\u00f3n TCP puede ser suficiente para llevar a cabo el ataque. Adem\u00e1s, el tr\u00e1fico relacionado con el ataque no se distingue en los registros del tr\u00e1fico regular de los usuarios. <\/p>\n

La vulnerabilidad se debe a caracter\u00edsticas en el procesamiento de los marcos HEADERS y CONTINUATION en las solicitudes del protocolo HTTP\/2. Los marcos HEADERS se utilizan en HTTP\/2 para transmitir encabezados HTTP, y los marcos CONTINUATION permiten dividir el env\u00edo de encabezados HTTP en varias etapas (por ejemplo, cuando los encabezados no caben en un \u00fanico marco o cuando en un principio se deben enviar encabezados que se pueden completar en el estado actual, y luego enviar los encabezados cuyos valores a\u00fan son indeterminados). Cuando se transmiten encabezados en m\u00faltiples etapas, inicialmente se env\u00eda un marco HEADERS sin la bandera END_HEADERS, seguido de varios marcos CONTINUATION con encabezados adicionales, y la lista se cierra con un marco CONTINUATION con la bandera END_HEADERS. <\/p>\n

El m\u00e9todo de ataque consiste en enviar un flujo ininterrumpido de marcos CONTINUATION sin establecer la bandera END_HEADERS. Esta actividad resulta en la transmisi\u00f3n de servidor<\/a> un gran n\u00famero de encabezados que el servidor mantiene en la memoria RAM hasta que se agote la memoria disponible para el proceso. Para generar una alta carga en la CPU, adem\u00e1s de agotar la memoria, un atacante puede aprovechar la compresi\u00f3n del contenido de los frames de CONTINUATION utilizando el formato HPACK, cuyo an\u00e1lisis requiere c\u00e1lculos. En las implementaciones del protocolo HTTP\/1.1 se aplic\u00f3 un l\u00edmite en el tama\u00f1o de los encabezados y un tiempo de espera para el env\u00edo de la conexi\u00f3n como protecci\u00f3n contra inundaciones de encabezados. Para HTTP\/2, debido a la complejidad del protocolo, muchas implementaciones no previeron tales m\u00e9todos de protecci\u00f3n contra el env\u00edo infinito de encabezados. <\/p>\n

La vulnerabilidad representa un mayor peligro para los usuarios de Node.js (CVE-2024-27983), ya que esta implementaci\u00f3n permite provocar un fallo enviando solo algunos cuadros al servidor. Debido a una condici\u00f3n de carrera en Node.js, para activar un cierre inesperado mediante un error de verificaci\u00f3n Assert, basta con cerrar las conexiones mientras se env\u00eda un flujo de encabezados incompleto (se produce un fallo si durante el cierre de las conexiones a\u00fan no se ha recibido un cuadro CONTINUATION con la bandera END_HEADERS). La vulnerabilidad ha sido solucionada en Node.js 18.20.1, 21.7.2 y 20.12.1, as\u00ed como en las versiones recientes de las bibliotecas llhttp y undici. En las nuevas versiones de Node.js tambi\u00e9n se ha solucionado una vulnerabilidad menos peligrosa (CVE-2024-27982) de la clase \u00abrequest smuggling\u00bb, que permite inmiscuirse en el contenido de las solicitudes de otros usuarios, que se procesan en el mismo flujo entre el frontend y el backend mediante la manipulaci\u00f3n del valor de \u00abContent Length\u00bb. <\/p>\n

Vulnerabilidades relacionadas con el manejo de CONTINUATION en otras implementaciones de HTTP\/2.0: <\/p>\n