HTTP/2 protokollide teostustes olev turvahaigus, mis lihtsustab DoS-rünnakute läbiviimist

Esitati uus rünnaku tehnika HTTP/2 protokollide teostuste vastu, mis lihtsustab teenuse keelamise rünnakute rakendamist serveri ressursside ammendamises. Turvahaigus sai koodnimeks MadeYouReset ja võimaldab manipuleerimise kaudu HTTP/2 juhtkarkassidega üle ujutada server mitmete päringutega, möödaminnes kehtestatud piirangutest.

Probleemi olemus seisneb selles, et klient saab luua üheaegselt töötavate voogude väga suure arvu, sõltumata SETTINGS_MAX_CONCURRENT_STREAMS piirangust, lähtestades iga voo alguses. Taoline lähtestamine tähendab, et uue päringu edastamiseks kehtestatud HTTP/2 ühenduses ei pea klient ootama vastust serverilt ja saab kohe suunata suure pideva päringute voo, nii palju kui sidetehnoloogia läbilaskevõime lubab.

Klient enam ei sõltu päringu saatmise ja vastuse saamise viivitustest (RTT, round-trip time) ning saab rünnaku sooritada minimaalse lisakuluga, samal ajal kui server jätkab ressursside kulutamist saabuvate päringute töötlemiseks. Näiteks server eraldab andmestruktuure uute voogude jaoks, analüüsib päringut, avab pead ja seob URL-i ressursiga. Tagasiportide rünnaku korral võib rünnak levida taustsüsteemidele, kuhu port suudab suunata päringu enne selle lähtestamist.

Turvahaigus meenutab varasemalt tuntud probleemi Rapid Reset (CVE-2023-44487) ja on tingitud voogude lähtestamise loogika lahknevusest, nagu see on määratletud HTTP/2 protokolli spetsifikatsioonis ja rakendatud lõpp-produktides. Spetsifikatsioon võimaldab voo lähtestamist nii kliendi kui ka serveri poolt igal ajal, kuid paljudes HTTP/2 teostustesserverid pärast taolist lähtestamist päring jätkab töötlemist. Uue rünnaku peamine erinevus on see, et päringu töötlemise lähtestamine toimub serveri algatusel, mitte kliendi poolt RST_STREAM lipuga kaadri saatmise teel.

Server-initiated reset occurs when invalid requests are received, but such requests are immediately discarded without being fully processed or passed to the backend. To complete the request processing cycle, an attacker can first send a valid HTTP request and then follow it with an incorrect sequence of control frames in HTTP/2. Such activity will cause the server to start processing the request properly, but due to an error in handling the subsequent frames, it will reset the stream (changing the stream with the valid request to the RST_STREAM state).

The issue has been confirmed in HTTP servers such as Apache Tomcat, Netty, Eclipse Jetty, Fastly, Varnish, Lighttpd, and Zephyr RTOS. The problem also manifests on websites and server services by Mozilla. Apache httpd, Apache Traffic Server, Node.js, LiteSpeed, and HAProxy are not susceptible to this issue. The status of the vulnerability in Nginx is currently undetermined.

Allikas: opennet.ru