Continuation flood rünnak, mis põhjustab probleeme HTTP/2.0 kasutavatel serveritel.

Rohkem teavet rünnakumeetodi «Continuation flood» kohta, mis mõjutab erinevaid HTTP/2 protokolli teostusi, sealhulgas Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net/http2, Envoy, oghttp ja nghttp2. Haavatavust saab kasutada HTTP/2.0 toega serverite ründamiseks ja sõltuvalt teostusest võib see viia mälu ammendumiseni (päringute töötlemise lõpetamine või protsesside kokkuvarisemine) või kõrge CPU koormuse tekkimiseni (päringute töötlemise aeglustamine). Uuringu autor, kes avastas haavatavuse, usub, et tuvastatud probleem on ohtlikum kui eelmisel aastal leitud «Rapid Reset» haavatavus, mida kasutati tookord suurimate DDoS-rünnakute läbiviimiseks.

Ohtlikkuse kõrge tase on seletatav sellega, et süsteemi töö häirimiseks serverilt, kokkuvarisemiseks või tõsise jõudluse languse saavutamiseks piisab ühe tavapärase arvuti poolt spetsiaalselt koostatud päringute voogude genereerimisest. Teatud juhtudel piisab rünnaku teostamiseks isegi ühest TCP-ühendusest. Samal ajal ei eristata rünnakuga seotud liiklust logides tavapärastest kasutaja päringutest.

Haavatavus on põhjustatud HTTP/2 protokolli raamide HEADERS ja CONTINUATION töötlemise eripärast. Raame HEADERS kasutatakse HTTP/2-s HTTP-pealkirjade edastamiseks ning raame CONTINUATION kasutatakse HTTP-pealkirjade saatmise etappideks jagamiseks (nt kui pealkirjad ei mahuks ühte raamidesse või kui alguses tuleb saata pealkirjad, mida saab hetkel täita, ja seejärel saata veel pealkirjad, mille väärtusi ei saa praegu määrata). Kui pealkirjad saadetakse mitme etapiga, saadetakse alguses raam HEADERS, millel ei ole lõpp-pealkirja (END_HEADERS) märget, millele järgneb mitu raam CONTINUATION täiendavate pealkirjadega ning nimekiri lõpetatakse raamiga CONTINUATION lõpp-pealkirja märgiga.

Rünnakumeetod seisneb täiustamata CONTINUATION raamide pidevas saatmises ilma lõpp-pealkirja (END_HEADERS) märgi määramata. Selline tegevus viib edastuseni server suure hulga pealkirjade säilitamine, mida server hoiab mälu, kuni protsessile saadaval olev mälu on otsa saanud. Suure CPU koormuse tekitamiseks võib ründaja lisaks mälule ammendumisele kasutada ka CONTINUATION kaadrite sisu kokkusurumist HPACK formaadis, mille analüüsimiseks on vajalikud arvutused. HTTP/1.1 protokollide rakenduste jaoks kasutati serveri pealkirjade üleujutuse kaitsmiseks pealkirjatriged ja ühenduse saatmise aja ooteaega. HTTP/2 puhul, protokolli keerukuse tõttu, ei ole paljud rakendused sarnaste meetodite kasutamiseks piiranud lõpmatute pealkirjade saatmise kaitset.

Selle haavatavuse suurim oht seisneb Node.js kasutajates (CVE-2024-27983), kuna see rakendus võimaldab kokkuvarisemist, saates serverile ainult mõned kaadrid. Node.js-i jagamisprotsessi tõttu on ühenduse katkestamine sambade saatmise ajal, kui on veel saata lõpetamata pealkirjade voog, piisav kriitilise olukorra kohta – seda on võimalik saavutada, kui CONTINUATION kaader ei ole veel saabuva lõpp-pealkirjaga END_HEADERS, kui jätkatakse ühenduste sulgemise protsessi. Haavatavus on kõrvaldatud Node.js versioonides 18.20.1, 21.7.2 ja 20.12.1 ning ka uusimates llhttp ja undici raamatukogudes. Uutes Node.js versioonides on samuti kõrvaldatud vähem ohtlik haavatavus (CVE-2024-27982), mis kuulub "request smuggling" klassi, võimaldades manipuleerida "Content Length" väärtusega teiste kasutajate päringute sisu suunamiseks, mida töödeldakse samas voos esifondi ja tagavara vahel.

Haavatavused, mis on seotud CONTINUATION töötlemisega, teistes HTTP/2.0 rakendustes:

• oghttp (CVE-2024-27919) — piiramatud mälutarbed.
• Tempesta FW (CVE-2024-2758) — piirangute mööda hiilimine.
• PHP-raamatukogud amphp/http, amphp/http-client ja amphp/http-server (CVE-2024-2653) — piiramatud mälutarbed, kuni saadava mälu täieliku ammendumiseni.
• Go-pakett net/http (CVE-2023-45288) — kõrge CPU koormuse tekitamine.
• Nghttp2 raamatukogu (CVE-2024-28182) — teenuse katkestamise põhjustamine.
• Apache Httpd (CVE-2024-27316) — ülemääraste mälutarvete ja CPU koormuse tekitamine.
• Apache Traffic Server (CVE-2024-31309) — ülemääraste ressursside tarbimine.
• Envoy (CVE-2024-30255) — kõrge CPU koormuse tekitamine (ühe CPU tuuma täistegevuseks on vajalik 300Mbit/s voog).

Allikas: opennet.ru