Attaque Continuation flood, entraînant des problèmes sur les serveurs utilisant HTTP/2.0

Des informations ont été révélées sur la méthode d'attaque «Continuation flood», affectant diverses implémentations du protocole HTTP/2, notamment Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net/http2, Envoy, oghttp et nghttp2. La vulnérabilité peut être utilisée pour attaquer des serveurs prenant en charge HTTP/2.0 et, selon l'implémentation, entraîne une saturation de la mémoire (arrêt du traitement des requêtes ou plantage des processus) ou crée une forte charge sur le CPU (ralentissement du traitement des requêtes). Selon le chercheur ayant découvert la vulnérabilité, le problème identifié est plus dangereux que la vulnérabilité «Rapid Reset» trouvée l'année dernière, qui a été utilisée pour effectuer les plus grandes attaques DDoS à l'époque.

Le niveau élevé de danger est dû au fait que pour perturber le fonctionnement de serveurs, provoquer un plantage ou réduire sérieusement la performance, il suffit de créer un flux de requêtes spécialement conçues à partir d'un ordinateur standard. Dans certains cas, une seule connexion TCP suffit même pour mener l'attaque. De plus, le trafic lié à l'attaque ne se distingue en rien dans les journaux par rapport aux requêtes normales des utilisateurs.

La vulnérabilité est causée par des particularités de traitement des trames HEADERS et CONTINUATION dans les requêtes selon le protocole HTTP/2. Les trames HEADERS sont utilisées dans HTTP/2 pour transmettre les en-têtes HTTP, tandis que les trames CONTINUATION servent à diviser l'envoi des en-têtes HTTP en plusieurs étapes (par exemple, lorsque les en-têtes ne tiennent pas dans une seule trame ou lorsque les en-têtes devant être envoyés d'abord peuvent être remplis à cette étape, puis les en-têtes dont les valeurs ne peuvent pas encore être déterminées sont envoyés par la suite). Lors de l'envoi d'en-têtes en plusieurs étapes, une trame HEADERS est d'abord envoyée sans le drapeau END_HEADERS, suivie de plusieurs trames CONTINUATION avec des en-têtes supplémentaires, et la liste est complétée par une trame CONTINUATION avec le drapeau END_HEADERS.

La méthode d'attaque consiste à envoyer un flux ininterrompu de trames CONTINUATION sans activer le drapeau END_HEADERS. Ce type d'activité entraîne l'envoi sur serveur Un grand nombre d'en-têtes que le serveur conserve en mémoire jusqu'à ce que la mémoire disponible pour le processus soit épuisée. Pour créer une charge élevée sur le CPU, en plus d'épuiser la mémoire, un attaquant peut exploiter la compression du contenu des trames CONTINUATION en utilisant le format HPACK, dont l'analyse nécessite des calculs. Dans les implémentations du protocole HTTP/1.1, une limite de taille d'en-tête et un délai d'attente pour l'envoi de la connexion ont été appliqués pour se protéger contre les inondations de serveurs par des en-têtes. Pour HTTP/2, en raison de la complexité accrue du protocole, de nombreuses implémentations n'ont pas prévu de tels moyens de protection contre l'envoi infini d'en-têtes.

La vulnérabilité représente le plus grand danger pour les utilisateurs de Node.js (CVE-2024-27983), car cette implémentation permet de provoquer un crash en envoyant seulement quelques trames au serveur. En raison d'une condition de course dans Node.js, il suffit de fermer les connexions pendant l'envoi d'un flux d'en-têtes inachevé pour déclencher un arrêt d'urgence via une vérification Assert (le crash se produit si, au moment de la fermeture des connexions, la trame CONTINUATION avec le drapeau END_HEADERS n'est pas encore arrivée). La vulnérabilité a été corrigée dans Node.js 18.20.1, 21.7.2 et 20.12.1, ainsi que dans les dernières versions des bibliothèques llhttp et undici. Dans les nouvelles versions de Node.js, une vulnérabilité moins dangereuse (CVE-2024-27982) de type "request smuggling" a également été corrigée, permettant, par manipulation de la valeur "Content Length", de s'infiltrer dans le contenu des requêtes d'autres utilisateurs traitées dans le même flux entre le front-end et le back-end.

Vulnérabilités liées au traitement de CONTINUATION dans d'autres implémentations HTTP/2.0 :

• oghttp (CVE-2024-27919) — consommation de mémoire illimitée.
• Tempesta FW (CVE-2024-2758) — contournement des limitations.
• Bibliothèque PHP amphp/http, amphp/http-client et amphp/http-server (CVE-2024-2653) — consommation de mémoire illimitée, pouvant aller jusqu'à l'épuisement complet de la mémoire disponible.
• Package Go net/http (CVE-2023-45288) — création d'une charge élevée sur le CPU.
• Bibliothèque nghttp2 (CVE-2024-28182) — déclenchement d'un déni de service.
• Apache Httpd (CVE-2024-27316) — consommation excessive de mémoire et création d'une charge sur le CPU.
• Apache Traffic Server (CVE-2024-31309) — consommation excessive de ressources.
• Envoy (CVE-2024-30255) — création d'une charge élevée sur le CPU (pour une charge complète d'un cœur de CPU, un débit de 300Mbit/s est nécessaire).

Source : opennet.ru