Chèchè soti nan Netflix ak Google Gen uit vilnerabilite nan aplikasyon divès pwotokòl HTTP/2 ki ka lakòz yon refi sèvis lè yo voye yon kouran demann rezo nan yon sèten fason. Pwoblèm nan afekte pifò serveurs HTTP ak sipò HTTP/2 nan yon sèten degre ak rezilta nan travayè a kouri soti nan memwa oswa kreye twòp chaj CPU. Mizajou ki elimine frajilite yo deja prezante nan и , men pou kounye a pou Apache httpd ak .
Pwoblèm yo te soti nan konplikasyon ki te entwodwi nan pwotokòl HTTP/2 ki asosye ak itilizasyon estrikti binè, yon sistèm pou limite koule done nan koneksyon, yon mekanis priyorite koule, ak prezans mesaj kontwòl ki sanble ak ICMP ki opere nan koneksyon HTTP/2. nivo (pa egzanp, ping, reset, ak anviwònman koule). Anpil aplikasyon pa t 'byen limite koule nan mesaj kontwòl, pa t' jere keu priyorite a avèk efikasite lè yo te trete demann yo, oswa yo te itilize aplikasyon ki pa pi bon nan algoritm kontwòl koule.
Pifò nan metòd atak idantifye yo desann nan voye sèten demann nan sèvè a, ki mennen nan jenerasyon an nan yon gwo kantite repons. Si kliyan an pa li done ki soti nan priz la epi li pa fèmen koneksyon an, keu repons tanpon sou bò sèvè kontinyèlman ranpli. Konpòtman sa a kreye yon chaj sou sistèm jesyon keu pou trete koneksyon rezo a epi, tou depann de karakteristik aplikasyon yo, mennen nan fatig nan memwa ki disponib oswa resous CPU.
Idantifye vilnerabilite:
- CVE-2019-9511 (Dati Dribble) - yon atakè mande yon gwo kantite done nan plizyè fil pa manipile gwosè fenèt la glisman ak priyorite fil, fòse sèvè a keu done yo nan blòk 1-byte;
- CVE-2019-9512 (Ping Flood) - yon atakè kontinyèlman anpwazonnen mesaj ping sou yon koneksyon HTTP/2, sa ki lakòz keu entèn repons yo voye nan inondasyon sou lòt bò a;
- CVE-2019-9513 (Resource Loop) - yon atakè kreye plizyè fil demann epi kontinyèlman chanje priyorite fil yo, sa ki lakòz pye bwa priyorite a melanje;
- CVE-2019-9514 (Reset Inondasyon) - yon atakè kreye plizyè fil
epi voye yon demann envalid atravè chak fil, sa ki lakòz sèvè a voye RST_STREAM ankadreman, men li pa aksepte yo ranpli keu repons lan; - CVE-2019-9515 (Anviwònman Inondasyon) - atakè a voye yon kouran "SETTINGS" ankadreman vid, an repons a ki sèvè a dwe rekonèt li resevwa chak demann;
- CVE-2019-9516 (0-Length Headers Leak) - yon atakè voye yon kouran headers ak yon non nil ak yon valè nil, epi sèvè a asiyen yon tanpon nan memwa pou estoke chak header epi li pa lage li jiskaske sesyon an fini. ;
- CVE-2019-9517 (Entèn Done Buffering) - atakè louvri
HTTP/2 glisman fenèt pou sèvè a voye done san restriksyon, men kenbe fenèt TCP a fèmen, anpeche done yo aktyèlman ekri nan priz la. Apre sa, atakè a voye demann ki mande yon gwo repons; - CVE-2019-9518 (Inondasyon Ankadreman Vid) - Yon atakè voye yon seri ankadreman nan kalite DATA, HEADER, CONTINUATION, oswa PUSH_PROMISE, men ak chaj vid epi pa gen okenn drapo revokasyon koule. Sèvè a pase tan trete chak ankadreman, disproporsyone ak Pleasant la konsome pa atakè a.
Sous: opennet.ru