Jätkuva üleujutuse rünnak, mis põhjustab probleeme HTTP/2.0 kasutavatel serveritel.

Avalikustatud on teave „Continuation flood“ rünnaku meetodi kohta, mis puudutab erinevaid HTTP/2 protokolli rakendusi, sealhulgas Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net/http2, Envoy, oghttp ja nghttp2. Haavatavust saab kasutada rünnakute teostamiseks HTTP/2.0 toe all olevatele serveritele ja sõltuvalt rakendusest võib see põhjustada mälu ammendumist (pärast päringute töötlemise lõpetamist või protsesside kokkuvarisemist) või kõrget CPU koormust (päringute töötlemise aeglustumine). Probleemi leidnud uurija arvates on tuvastatud probleem ohtlikum kui eelmisel aastal leitud „Rapid Reset“ haavatavus, mida kasutati toona suurimate DDoS-rünnakute korraldamiseks.

Ohtlikkuse kõrge tase seletub sellega, et töö häirimiseks serverile, protsessi kokkuvarisemiseks või tõsise jõudluse languse saavutamiseks piisab spetsiaalselt vormistatud päringute voogude genereerimisest ühest tavalise arvuti seadmest. Teatud juhtudel on rünnaku teostamiseks piisav isegi üks TCP-ühendus. Sellega seoses ei eristu rünnakute käigus genereeritud liiklus logides tavalisest kasutaja päringute taustast.

Haavatavus tuleneb HTTP/2 protokolli päringute HEADERS ja CONTINUATION kaadris töötlemise eripäradest. HEADERS kaadreid kasutatakse HTTP/2-s HTTP-pealkirjade edastamiseks, samas kui CONTINUATION kaadreid kasutatakse HTTP-pealkirjade edastamise jagamiseks mitmeks etapiks (näiteks, kui pealkirjad ei mahu ühte kaadrisse või kui alguses tuleb edastada pealkirjad, mida saab praegusel etapil täita, ja seejärel edastada lõpuks need pealkirjad, mille väärtusi ei saa veel määrata). Kui pealkirju edastatakse mitmes etapis, saadetakse esmalt HEADERS kaader, millel ei ole END_HEADERS lippu, sellele järgneb mitu CONTINUATION kaadrit koos täiendavate pealkirjadega ja lõpetab nimekirja kaader CONTINUATION koos END_HEADERS lipuga.

Rünnakumeetod seisneb END_HEADERS lipu puudumisega CONTINUATION kaadrite katkematus voogu saatmises. Sarnane tegevus toob kaasa server suure hulga pealkirjade edastamise, mida server hoiab mälus seni, kuni protsessi töötlemiseks vajalik mälu on ammendatud. Lisaks mälu ammendumisele võib ründaja CPU koormuse suurendamiseks kasutada ka CONTINUATION kaadrite sisu kokkusurumist HPACK formaadis, mille parseerimine nõuab arvutusressursse. HTTP/1.1 protokolli rakendustes kasutati serverite pealkirjade uputamise kaitsmiseks pealkirjade suuruse piiri ja ühenduse edastamise ajutäit. HTTP/2 puhul ei ole protokolli keerukuse tõttu paljud rakendused selliseid kaitsemeetmeid piiramatu pealkirjade edastamise vastu ette näinud.

Suuremat ohtu esindab haavatavus Node.js kasutajate jaoks (CVE-2024-27983), kuna see rakendus võimaldab serverile saatmise kaudu paaride kaadritega serveri kokkuvarisemist saavutada. Node.js-is on võiduvõidu puhul piisav lõpetada ühendused pealkirjade katkematu voolu saatmise ajal, et põhjustada katkestust (kui CONTINUATION kaader END_HEADERS lipuga ei ole veel toimunud). Haavatavus on kõrvaldatud Node.js versioonides 18.20.1, 21.7.2 ja 20.12.1, samuti uusimates versioonides llhttp ja undici teekidest. Uutes Node.js versioonides on kõrvaldatud ka vähem ohtlik haavatavus (CVE-2024-27982) „request smuggling“ kategooriast, mis võimaldab manipuleerida „Content Length“ väärtusega, et vahele käia teiste kasutajate päringute sisu, mis töödelda samas voos frontendi ja backend'i vahel.

CONTINUATION kaadrite töötlemisega seotud haavatavused muudes HTTP/2.0 rakendustes:

• oghttp (CVE-2024-27919) – piiramatud mälu tarbimise.
• Tempesta FW (CVE-2024-2758) – piirangute ületamine.
• PHP teegid amphp/http, amphp/http-client ja amphp/http-server (CVE-2024-2653) – piiramatud mälu tarbimise, kuni kogu mälumaht on ammendatud.
• Go pakett net/http (CVE-2023-45288) – kõrge CPU koormuse tekitamine.
• nghttp2 teek (CVE-2024-28182) – teenuse kättesaamatuse tekitamine.
• Apache Httpd (CVE-2024-27316) – ülemäärane mälu tarbimine ja CPU koormuse tekitamine.
• Apache Traffic Server (CVE-2024-31309) – ülemäärane ressursside tarbimine.
• Envoy (CVE-2024-30255) – kõrge CPU koormuse tekitamine (täielik koormus ühe CPU tuuma jaoks nõuab 300Mbit/s voogu).

Allikas: opennet.ru