Erinevates HTTP/2 protokolli rakendustes on tuvastatud 8 DoS-haavatavust

Netflixi ja Google'i teadlased tuvastasid leidsid erinevates HTTP/2 protokolli rakendustes kaheksa haavatavust, mis võimaldavad teenuse katkestamist, saates teatud viisil vormindatud võrgupäringute vooge. Probleemid mõjutavad enamasti enamikku HTTP/2-ga toetatud HTTP-serveritest ning toovad kaasa töötamismälu ammendumise või liiga kõrge koormuse CPU-le. Haavatavuste parandused on juba esitatud nginx 1.16.1/1.17.3 ja H2O 2.2.6, kuid praegu kättesaamatud Apache httpd ja teised tooted.

Probleemid tulenesid HTTP/2 protokolli keerukustest, mis on seotud binaarsete struktuuride kasutamise, voogude andmete piirangute süsteemi, voogude prioriseerimise mehhanismi ja ICMP-sarnaste juhtimisvõtete olemasolu tõttu, mis töötavad HTTP/2 ühendustasandil (näiteks ping, voogude nullimise ja seadistamise toimingud). Paljud rakendused ei piiranud korralikult juhtimise sõnumite voogu, korraldasid ebaefektiivselt prioriteedi töötlemise järjekorda või kasutasid mitteoptimeeritud voogude juhtimise algoritme.

Enamiku tuvastatud rünnakumeetodite puhul saadetakse serverisse teatud päringud, mis genereerivad suure hulga vastuseid. Kui klient ei loe andmeid pesast ja ei katka ühendust, täitub serveri poolel pidevalt vastuste vahemälu järjekord. Selline käitumine koormab võrguühenduste töötlemise järjekorra haldamise süsteemi ja sõltuvalt rakenduse eripärast võib see põhjustada mälu või CPU ressursside ammendumist.

Tuletatud haavatavused:

• CVE-2019-9511 (Data Dribble) — ründaja pärib suurt andmemahtu mitmes voos, manipuleerides libiseva akna suuruse ja voogude prioriteediga, sundides serverit andmed järjekorda panema 1-baidiste plokkidena;
• CVE-2019-9512 (Ping Flood) — ründaja saatis pidevalt ping-sõnumeid HTTP/2 ühenduse kaudu, käivitades vastuste sisemise järjekorra täitmise teisel pool;
• CVE-2019-9513 (Resource Loop) — ründaja loob mitu päringuvoolu ja muudab pidevalt voogude prioriteete, põhjustades prioriteedi puu segunemise;
• CVE-2019-9514 (Reset Flood) — ründaja loob mitu voogu
  ja saadab iga voog kaudu vale päringu, mis kutsub serveri üles saatma RST_STREAM kaadreid, kuid ei võta neid vastuste järjekorra täitmiseks;
• CVE-2019-9515 (Seadete üleujutus) – ründaja saadab voogu tühje „SETTINGS” kaadreid, millele server peab iga päringu kätte saamise kinnitamiseks vastama;
• CVE-2019-9516 (0-pikkusega päiste leke) – ründaja saadab päiste voogu, mille nimed ja väärtused on null, samas kui server määrab iga päise jaoks mälu puhverdus, mida ei vabastata enne sessiooni lõppu;
• CVE-2019-9517 (Sisene andmepuurimise) – ründaja avab
  libiseva HTTP/2 akna, et server saaks andmeid piiramata edastada, kuid hoiab samas TCP akna suletuna, mis ei võimalda andmeid tegelikult soketti kirjutada. Seejärel saadab ründaja päringud, mis nõuavad suurt vastust;
• CVE-2019-9518 (Tühjade kaadrite üleujutus) – ründaja saadab DATA, HEADERS, CONTINUATION või PUSH_PROMISE tüüpi kaadreid, kuid tühja kasuliku sisu ja ilma voolu lõpetamise liputa. Server kulutab aega iga kaadri töötlemiseks, mis ei ole proportsionaalne ründaja kasutatavale ribale.

Allikas: opennet.ru