HTTP/2 प्रोटोकॉल के विभिन्न कार्यान्वयन में 8 DoS कमजोरियों की पहचान की गई है

नेटफ्लिक्स और गूगल के शोधकर्ता दिखाया गया HTTP/2 प्रोटोकॉल के विभिन्न कार्यान्वयन में आठ कमजोरियां हैं जो एक निश्चित तरीके से नेटवर्क अनुरोधों की एक धारा भेजकर सेवा से इनकार कर सकती हैं। समस्या कुछ हद तक HTTP/2 समर्थन वाले अधिकांश HTTP सर्वरों को प्रभावित करती है और परिणामस्वरूप कार्यकर्ता की मेमोरी खत्म हो जाती है या बहुत अधिक CPU लोड उत्पन्न हो जाता है। कमजोरियों को दूर करने वाले अपडेट पहले से ही प्रस्तुत किए गए हैं nginx 1.16.1/1.17.3 и एच२ओ ३०२००३, लेकिन अभी के लिए अनुपलब्ध अपाचे httpd और के लिए अन्य उत्पाद.

समस्याएँ बाइनरी संरचनाओं के उपयोग, कनेक्शन के भीतर डेटा प्रवाह को सीमित करने के लिए एक प्रणाली, एक प्रवाह प्राथमिकता तंत्र, और HTTP/2 कनेक्शन पर संचालित होने वाले ICMP-जैसे नियंत्रण संदेशों की उपस्थिति से जुड़ी HTTP/2 प्रोटोकॉल में पेश की गई जटिलताओं के कारण उत्पन्न हुईं। स्तर (उदाहरण के लिए, पिंग, रीसेट और प्रवाह सेटिंग्स)। कई कार्यान्वयनों ने नियंत्रण संदेशों के प्रवाह को ठीक से सीमित नहीं किया, अनुरोधों को संसाधित करते समय प्राथमिकता कतार को कुशलतापूर्वक प्रबंधित नहीं किया, या प्रवाह नियंत्रण एल्गोरिदम के उप-इष्टतम कार्यान्वयन का उपयोग नहीं किया।

अधिकांश पहचाने गए हमले के तरीके सर्वर पर कुछ अनुरोध भेजने के लिए आते हैं, जिससे बड़ी संख्या में प्रतिक्रियाएँ उत्पन्न होती हैं। यदि क्लाइंट सॉकेट से डेटा नहीं पढ़ता है और कनेक्शन बंद नहीं करता है, तो सर्वर साइड पर प्रतिक्रिया बफरिंग कतार लगातार भरती रहती है। यह व्यवहार नेटवर्क कनेक्शन को संसाधित करने के लिए कतार प्रबंधन प्रणाली पर भार बनाता है और, कार्यान्वयन सुविधाओं के आधार पर, उपलब्ध मेमोरी या सीपीयू संसाधनों की समाप्ति की ओर जाता है।

पहचानी गई कमजोरियाँ:

• सीवीई-2019-9511 (डेटा ड्रिबल) - एक हमलावर स्लाइडिंग विंडो आकार और थ्रेड प्राथमिकता में हेरफेर करके बड़ी मात्रा में डेटा को कई थ्रेड में अनुरोध करता है, जिससे सर्वर को 1-बाइट ब्लॉक में डेटा को कतारबद्ध करने के लिए मजबूर होना पड़ता है;
• सीवीई-2019-9512 (पिंग फ्लड) - एक हमलावर लगातार HTTP/2 कनेक्शन पर पिंग संदेशों को जहर देता है, जिससे दूसरी तरफ भेजे गए प्रतिक्रियाओं की आंतरिक कतार में बाढ़ आ जाती है;
• CVE-2019-9513 (संसाधन लूप) - एक हमलावर कई अनुरोध थ्रेड बनाता है और लगातार थ्रेड की प्राथमिकता बदलता है, जिससे प्राथमिकता ट्री में फेरबदल होता है;
• CVE-2019-9514 (रीसेट फ्लड) - एक हमलावर कई थ्रेड बनाता है
  और प्रत्येक थ्रेड के माध्यम से एक अमान्य अनुरोध भेजता है, जिससे सर्वर RST_STREAM फ़्रेम भेजता है, लेकिन प्रतिक्रिया कतार को भरने के लिए उन्हें स्वीकार नहीं करता है;

• CVE-2019-9515 (सेटिंग्स फ्लड) - हमलावर खाली "सेटिंग्स" फ़्रेमों की एक स्ट्रीम भेजता है, जिसके जवाब में सर्वर को प्रत्येक अनुरोध की प्राप्ति की पुष्टि करनी होगी;
• CVE-2019-9516 (0-लंबाई हेडर लीक) - एक हमलावर शून्य नाम और शून्य मान के साथ हेडर की एक स्ट्रीम भेजता है, और सर्वर प्रत्येक हेडर को संग्रहीत करने के लिए मेमोरी में एक बफर आवंटित करता है और सत्र समाप्त होने तक इसे जारी नहीं करता है ;
• CVE-2019-9517 (आंतरिक डेटा बफ़रिंग) - हमलावर खुलता है
  सर्वर के लिए HTTP/2 स्लाइडिंग विंडो बिना किसी प्रतिबंध के डेटा भेजती है, लेकिन टीसीपी विंडो को बंद रखती है, जिससे डेटा को वास्तव में सॉकेट में लिखे जाने से रोका जा सकता है। इसके बाद, हमलावर ऐसे अनुरोध भेजता है जिनके लिए बड़ी प्रतिक्रिया की आवश्यकता होती है;

• CVE-2019-9518 (खाली फ़्रेम बाढ़) - एक हमलावर डेटा, हेडर, CONTINUATION, या PUSH_PROMISE प्रकार के फ़्रेमों की एक स्ट्रीम भेजता है, लेकिन खाली पेलोड और कोई प्रवाह समाप्ति ध्वज नहीं होता है। सर्वर प्रत्येक फ़्रेम को संसाधित करने में समय व्यतीत करता है, जो हमलावर द्वारा उपभोग की गई बैंडविड्थ के अनुपात से अधिक होता है।

स्रोत: opennet.ru