{"id":114790,"date":"2024-04-04T18:25:42","date_gmt":"2024-04-04T16:25:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0"},"modified":"2024-04-04T18:25:42","modified_gmt":"2024-04-04T16:25:42","slug":"ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/news\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","title":{"rendered":"Napad 'Continuation flood', koji uzrokuje probleme na poslu\u017eiteljima koji koriste HTTP\/2.0.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Otkriveni su podaci o metodi napada \u201eContinuation flood\u201c, koja se odnosi na razli\u010dite implementacije protokola HTTP\/2, uklju\u010duju\u0107i Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net\/http2, Envoy, oghttp i nghttp2. Ova ranjivost mo\u017ee se koristiti za napade na servere koji podr\u017eavaju HTTP\/2.0, a zavisno od implementacije mo\u017ee dovesti do iscrpljivanja memorije (prekid obrade zahteva ili naglo zavr\u0161avanje procesa) ili stvaranja visoke CPU optere\u0107enosti (usporavanje obrade zahteva). Prema tvrdnjama istra\u017eiva\u010da koji je otkrio ovu ranjivost, problem je opasniji od ranije otkrivene ranjivosti \u201eRapid Reset\u201c, koja je kori\u0161\u0107ena za izvo\u0111enje najve\u0107ih DDoS napada u to vreme. <\/p>\n

Visoka razina opasnosti obja\u0161njava se time \u0161to je za ometanje rada poslu\u017eitelja<\/a>, iznenadno zatvaranje ili ozbiljno smanjenje performansi dovoljno stvoriti tok posebno oblikovanih zahtjeva s jednog uobi\u010dajenog ra\u010dunala. U odre\u0111enim slu\u010dajevima, za provo\u0111enje napada dovoljno je \u010dak i jedno TCP povezivanje. Pri tome, promet povezan s provo\u0111enjem napada ne isti\u010de se u logovima u odnosu na obi\u010dne korisni\u010dke zahtjeve. <\/p>\n

Ranjivost je uzrokovana karakteristikama obrade okvira HEADERS i CONTINUATION u zahtjevima prema protokolu HTTP\/2. Okviri HEADERS se koriste u HTTP\/2 za prijenos HTTP zaglavlja, dok se okviri CONTINUATION koriste za podjelu slanja HTTP zaglavlja na nekoliko faza (na primjer, kada zaglavlja ne stanu u jedan okvir ili kada u po\u010detku treba poslati zaglavlja koja se mogu popuniti u trenutnoj fazi, a zatim poslati zaglavlja \u010dije vrijednosti jo\u0161 nisu mogu\u0107e utvrditi). Tijekom prijenosa zaglavlja u nekoliko faza, prvo se \u0161alje okvir HEADERS bez oznake END_HEADERS, za njim slijedi nekoliko okvira CONTINUATION s dodatnim zaglavljima i popis zavr\u0161ava okvirima CONTINUATION s oznakom END_HEADERS. <\/p>\n

Metoda napada svodi se na slanje neprestanog toka okvira CONTINUATION bez ozna\u010davanja END_HEADERS. Takva aktivnost dovodi do prijenosa na server<\/a> Veliki broj zaglavlja koje server \u010duva u radnoj memoriji sve dok dostupna memorija za proces nije iscrpljena. Da bi stvorio visoko optere\u0107enje na CPU-u, napada\u010d mo\u017ee iskoristiti kompresiju sadr\u017eaja zaglavlja CONTINUATION koriste\u0107i format HPACK, \u010dija analiza zahtijeva izra\u010dune. U implementacijama protokola HTTP\/1.1 kako bi se za\u0161titili od preoptere\u0107enja servera zaglavljima, primijenjen je limit na veli\u010dinu zaglavlja i vremensko ograni\u010denje za slanje veze. Za HTTP\/2, zbog slo\u017eenosti protokola, mnoge implementacije nisu predvidjele sli\u010dne metode za\u0161tite od beskona\u010dnog slanja zaglavlja. <\/p>\n

Najve\u0107u opasnost ranjivost predstavlja za korisnike Node.js (CVE-2024-27983), jer ova implementacija omogu\u0107ava pad sistema slanjem samo nekoliko okvira na server. Zbog stanja utrke u Node.js, za izazivanje naglog zavr\u0161etka preko pokretanja Assert provere dovoljno je zatvoriti veze tokom slanja nedovr\u0161enog toka zaglavlja (pad sistema se javlja ako tokom zatvaranja veza okvir CONTINUATION sa flagom END_HEADERS nije stigao). Ranjivost je otklonjena u Node.js verzijama 18.20.1, 21.7.2 i 20.12.1, kao i u novim izdanjima biblioteka llhttp i undici. U novim verzijama Node.js tako\u0111e je otklonjena manje opasna ranjivost (CVE-2024-27982) klase \u201erequest smuggling\u201c, koja omogu\u0107ava manipulaciju vredno\u0161\u0107u \u201eContent Length\u201c kako bi se umestili u sadr\u017eaj zahteva drugih korisnika obra\u0111ivanih u istom toku izme\u0111u frontend-a i backend-a. <\/p>\n

Ranjivosti vezane za obradu CONTINUATION u drugim implementacijama HTTP\/2.0: <\/p>\n