{"id":114790,"date":"2024-04-04T18:25:42","date_gmt":"2024-04-04T16:25:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0"},"modified":"2024-04-04T18:25:42","modified_gmt":"2024-04-04T16:25:42","slug":"ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","title":{"rendered":"Attaque Continuation flood, entra\u00eenant des probl\u00e8mes sur les serveurs utilisant HTTP\/2.0","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Des informations sur la m\u00e9thode d'attaque \u00ab Continuation flood \u00bb ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9es, touchant diverses impl\u00e9mentations du protocole HTTP\/2, notamment Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net\/http2, Envoy, oghttp et nghttp2. La vuln\u00e9rabilit\u00e9 peut \u00eatre exploit\u00e9e pour lancer des attaques contre des serveurs prenant en charge HTTP\/2.0 et, selon l'impl\u00e9mentation, peut entra\u00eener une \u00e9puisement de la m\u00e9moire (arr\u00eat du traitement des demandes ou terminaison anormale des processus) ou une forte charge sur le CPU (ralentissement du traitement des demandes). Selon le chercheur ayant d\u00e9couvert la vuln\u00e9rabilit\u00e9, le probl\u00e8me identifi\u00e9 est plus dangereux que la vuln\u00e9rabilit\u00e9 \u00ab Rapid Reset \u00bb trouv\u00e9e l'ann\u00e9e derni\u00e8re, qui a \u00e9t\u00e9 utilis\u00e9e pour mener les plus grandes attaques DDoS \u00e0 l'\u00e9poque. <\/p>\n

Le niveau \u00e9lev\u00e9 de danger est d\u00fb au fait que pour perturber le fonctionnement de serveurs<\/a>, provoquer un plantage ou r\u00e9duire s\u00e9rieusement la performance, il suffit de cr\u00e9er un flux de requ\u00eates sp\u00e9cialement con\u00e7ues \u00e0 partir d'un ordinateur standard. Dans certains cas, une seule connexion TCP suffit m\u00eame pour mener l'attaque. De plus, le trafic li\u00e9 \u00e0 l'attaque ne se distingue en rien dans les journaux par rapport aux requ\u00eates normales des utilisateurs. <\/p>\n

La vuln\u00e9rabilit\u00e9 est caus\u00e9e par des particularit\u00e9s de traitement des trames HEADERS et CONTINUATION dans les requ\u00eates selon le protocole HTTP\/2. Les trames HEADERS sont utilis\u00e9es dans HTTP\/2 pour transmettre les en-t\u00eates HTTP, tandis que les trames CONTINUATION servent \u00e0 diviser l'envoi des en-t\u00eates HTTP en plusieurs \u00e9tapes (par exemple, lorsque les en-t\u00eates ne tiennent pas dans une seule trame ou lorsque les en-t\u00eates devant \u00eatre envoy\u00e9s d'abord peuvent \u00eatre remplis \u00e0 cette \u00e9tape, puis les en-t\u00eates dont les valeurs ne peuvent pas encore \u00eatre d\u00e9termin\u00e9es sont envoy\u00e9s par la suite). Lors de l'envoi d'en-t\u00eates en plusieurs \u00e9tapes, une trame HEADERS est d'abord envoy\u00e9e sans le drapeau END_HEADERS, suivie de plusieurs trames CONTINUATION avec des en-t\u00eates suppl\u00e9mentaires, et la liste est compl\u00e9t\u00e9e par une trame CONTINUATION avec le drapeau END_HEADERS. <\/p>\n

La m\u00e9thode d'attaque consiste \u00e0 envoyer un flux ininterrompu de trames CONTINUATION sans activer le drapeau END_HEADERS. Ce type d'activit\u00e9 entra\u00eene l'envoi sur serveur<\/a> Un grand nombre d'en-t\u00eates que le serveur conserve en m\u00e9moire jusqu'\u00e0 ce que la m\u00e9moire disponible pour le processus soit \u00e9puis\u00e9e. Pour cr\u00e9er une charge \u00e9lev\u00e9e sur le CPU, en plus d'\u00e9puiser la m\u00e9moire, un attaquant peut exploiter la compression du contenu des trames CONTINUATION en utilisant le format HPACK, dont l'analyse n\u00e9cessite des calculs. Dans les impl\u00e9mentations du protocole HTTP\/1.1, une limite de taille d'en-t\u00eate et un d\u00e9lai d'attente pour l'envoi de la connexion ont \u00e9t\u00e9 appliqu\u00e9s pour se prot\u00e9ger contre les inondations de serveurs par des en-t\u00eates. Pour HTTP\/2, en raison de la complexit\u00e9 accrue du protocole, de nombreuses impl\u00e9mentations n'ont pas pr\u00e9vu de tels moyens de protection contre l'envoi infini d'en-t\u00eates. <\/p>\n

La vuln\u00e9rabilit\u00e9 repr\u00e9sente le plus grand danger pour les utilisateurs de Node.js (CVE-2024-27983), car cette impl\u00e9mentation permet un crash par l'envoi de quelques trames au serveur. En raison d'un \u00e9tat de concurrence dans Node.js, il suffit de clore des connexions pendant l'envoi d'un flux d'en-t\u00eates inachev\u00e9 pour provoquer une terminaison anormale par le d\u00e9clenchement d'une v\u00e9rification Assert (le crash se produira si un cadre CONTINUATION avec le drapeau END_HEADERS n'est pas encore arriv\u00e9 lors de la fermeture des connexions). La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e dans Node.js 18.20.1, 21.7.2 et 20.12.1, ainsi que dans les versions r\u00e9centes des biblioth\u00e8ques llhttp et undici. Dans les nouvelles versions de Node.js, une vuln\u00e9rabilit\u00e9 moins grave (CVE-2024-27982) de la classe \u00ab request smuggling \u00bb a \u00e9galement \u00e9t\u00e9 corrig\u00e9e, permettant d'interf\u00e9rer dans le contenu des demandes d'autres utilisateurs en manipulant la valeur du \u00ab Content Length \u00bb, dans le m\u00eame flux entre le front-end et le back-end. <\/p>\n

Vuln\u00e9rabilit\u00e9s li\u00e9es au traitement de CONTINUATION dans d'autres impl\u00e9mentations HTTP\/2.0 : <\/p>\n