{"id":114790,"date":"2024-04-04T18:25:42","date_gmt":"2024-04-04T16:25:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0"},"modified":"2024-04-04T18:25:42","modified_gmt":"2024-04-04T16:25:42","slug":"ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","title":{"rendered":"J\u00e4tkuva \u00fcleujutuse r\u00fcnnak, mis p\u00f5hjustab probleeme HTTP\/2.0 kasutavatel serveritel.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Avalikustatud teave r\u00fcnnakumeetodi kohta \u201eContinuation flood\u201c, mis m\u00f5jutab erinevaid HTTP\/2 protokolli realiseeringuid, sealhulgas Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net\/http2, Envoy, oghttp ja nghttp2. Haavatavust saab kasutada r\u00fcnnakute sooritamiseks HTTP\/2.0 toetavate serverite vastu ja vastavalt realiseeringule p\u00f5hjustab see m\u00e4lukasutuse ammendumist (p\u00e4ringute t\u00f6\u00f6tlemise l\u00f5petamine v\u00f5i protsesside kokkuvajumine) v\u00f5i k\u00f5rge CPU koormuse loomist (p\u00e4ringute t\u00f6\u00f6tlemise aeglustamine). Avastanud uurija arvates on tuvastatud probleem ohtlikum kui eelmisel aastal leitud haavatavus \u201eRapid Reset\u201c, mis kasutati suurimate DDoS-r\u00fcnnakute sooritamiseks toona. <\/p>\n

Ohtlikkuse k\u00f5rge tase seletub sellega, et t\u00f6\u00f6 h\u00e4irimiseks serverile<\/a>, protsessi kokkuvarisemiseks v\u00f5i t\u00f5sise j\u00f5udluse languse saavutamiseks piisab spetsiaalselt vormistatud p\u00e4ringute voogude genereerimisest \u00fchest tavalise arvuti seadmest. Teatud juhtudel on r\u00fcnnaku teostamiseks piisav isegi \u00fcks TCP-\u00fchendus. Sellega seoses ei eristu r\u00fcnnakute k\u00e4igus genereeritud liiklus logides tavalisest kasutaja p\u00e4ringute taustast. <\/p>\n

Haavatavus tuleneb HTTP\/2 protokolli p\u00e4ringute HEADERS ja CONTINUATION kaadris t\u00f6\u00f6tlemise erip\u00e4radest. HEADERS kaadreid kasutatakse HTTP\/2-s HTTP-pealkirjade edastamiseks, samas kui CONTINUATION kaadreid kasutatakse HTTP-pealkirjade edastamise jagamiseks mitmeks etapiks (n\u00e4iteks, kui pealkirjad ei mahu \u00fchte kaadrisse v\u00f5i kui alguses tuleb edastada pealkirjad, mida saab praegusel etapil t\u00e4ita, ja seej\u00e4rel edastada l\u00f5puks need pealkirjad, mille v\u00e4\u00e4rtusi ei saa veel m\u00e4\u00e4rata). Kui pealkirju edastatakse mitmes etapis, saadetakse esmalt HEADERS kaader, millel ei ole END_HEADERS lippu, sellele j\u00e4rgneb mitu CONTINUATION kaadrit koos t\u00e4iendavate pealkirjadega ja l\u00f5petab nimekirja kaader CONTINUATION koos END_HEADERS lipuga. <\/p>\n

R\u00fcnnakumeetod seisneb END_HEADERS lipu puudumisega CONTINUATION kaadrite katkematus voogu saatmises. Sarnane tegevus toob kaasa server<\/a> suure hulga pealkirjade edastamise, mida server hoiab m\u00e4lus seni, kuni protsessi t\u00f6\u00f6tlemiseks vajalik m\u00e4lu on ammendatud. Lisaks m\u00e4lu ammendumisele v\u00f5ib r\u00fcndaja CPU koormuse suurendamiseks kasutada ka CONTINUATION kaadrite sisu kokkusurumist HPACK formaadis, mille parseerimine n\u00f5uab arvutusressursse. HTTP\/1.1 protokolli rakendustes kasutati serverite pealkirjade uputamise kaitsmiseks pealkirjade suuruse piiri ja \u00fchenduse edastamise ajut\u00e4it. HTTP\/2 puhul ei ole protokolli keerukuse t\u00f5ttu paljud rakendused selliseid kaitsemeetmeid piiramatu pealkirjade edastamise vastu ette n\u00e4inud. <\/p>\n

Suurim oht haavatavus esindab Node.js kasutajatele (CVE-2024-27983), kuna see realiseering v\u00f5imaldab kukkuda, saates serverisse vaid m\u00f5ned kaadrid. Node.js-s esineva konkurentsitingimuse t\u00f5ttu on avariilise l\u00f5petamise saavutamiseks piisav, kui sulgeda \u00fchendused, saatmata l\u00f5petamata p\u00e4iseid (kukub kokku, kui \u00fchenduste sulgemise ajal ei ole veel saabunud CONTINUATION kaader END_HEADERS lipuga). Haavatavus on k\u00f5rvaldatud Node.js versioonides 18.20.1, 21.7.2 ja 20.12.1 ning v\u00e4rsketes llhttp ja undici raamatukogude v\u00e4ljaannetes. Uutes Node.js versioonides on k\u00f5rvaldatud ka v\u00e4hem ohtlik haavatavus (CVE-2024-27982) \u201erequest smuggling\u201c, mis v\u00f5imaldab manipuleerida \u201eContent Length\u201c v\u00e4\u00e4rtusega ja tungida teiste kasutajate p\u00e4ringute sisusse, mida t\u00f6\u00f6deldakse samas niidis frontendi ja backend'i vahel. <\/p>\n

CONTINUATION kaadrite t\u00f6\u00f6tlemisega seotud haavatavused muudes HTTP\/2.0 rakendustes: <\/p>\n