{"id":114790,"date":"2024-04-04T18:25:42","date_gmt":"2024-04-04T16:25:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0"},"modified":"2024-04-04T18:25:42","modified_gmt":"2024-04-04T16:25:42","slug":"ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","title":{"rendered":"Attacco Continuation flood che causa problemi ai server che utilizzano HTTP\/2.0","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Sono emerse informazioni sul metodo di attacco \u00abContinuation flood\u00bb, che coinvolge varie implementazioni del protocollo HTTP\/2, tra cui Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net\/http2, Envoy, oghttp e nghttp2. La vulnerabilit\u00e0 pu\u00f2 essere sfruttata per attaccare server che supportano HTTP\/2.0 e, a seconda dell'implementazione, pu\u00f2 portare a esaurimento della memoria (interruzione dell'elaborazione delle richieste o crash dei processi) o creare un elevato carico sulla CPU (rallentamento dell'elaborazione delle richieste). Secondo il ricercatore che ha scoperto la vulnerabilit\u00e0, il problema individuato \u00e8 pi\u00f9 pericoloso rispetto alla vulnerabilit\u00e0 \u00abRapid Reset\u00bb identificata l'anno scorso, usata per eseguire le pi\u00f9 grandi attacchi DDoS di quel periodo. <\/p>\n

L'alto livello di pericolo \u00e8 spiegato dal fatto che per compromettere il funzionamento \u0441\u0435\u0440\u0432\u0435\u0440\u0430<\/a>, causare un crash o una grave riduzione delle prestazioni \u00e8 sufficiente inviare un flusso di richieste appositamente formattate da un normale computer. In alcuni casi, per eseguire l'attacco \u00e8 sufficiente anche una sola connessione TCP. Inoltre, il traffico associato all'attacco non si distingue nei log rispetto alle normali richieste degli utenti. <\/p>\n

La vulnerabilit\u00e0 \u00e8 causata dalle peculiarit\u00e0 nella gestione dei frame HEADERS e CONTINUATION nelle richieste tramite il protocollo HTTP\/2. I frame HEADERS sono utilizzati in HTTP\/2 per trasmettere gli header HTTP, mentre i frame CONTINUATION servono per suddividere l'invio degli header HTTP in pi\u00f9 fasi (ad esempio, quando gli header non possono essere inseriti in un singolo frame o quando inizialmente si devono inviare header che possono essere popolati in questa fase, per poi inviare ulteriormente gli header i cui valori non possono ancora essere determinati). Nel caso di invio multi-fase, inizialmente si invia un frame HEADERS senza il flag END_HEADERS, seguito da diversi frame CONTINUATION con ulteriori header, terminando con un frame CONTINUATION con il flag END_HEADERS. <\/p>\n

Il metodo di attacco consiste nell'inviare un flusso ininterrotto di frame CONTINUATION senza impostare il flag END_HEADERS. Tale attivit\u00e0 porta a inviare un un server<\/a> numero elevato di header che il server memorizza in memoria fino a quando la memoria disponibile per il processo non viene esaurita. Per creare un alto carico sulla CPU, oltre all'esaurimento della memoria, l'attaccante pu\u00f2 approfittare della compressione del contenuto dei frame CONTINUATION utilizzando il formato HPACK, la cui analisi richiede calcoli. Nelle implementazioni del protocollo HTTP\/1.1, per proteggere contro l'inondazione dei server con header si utilizzava un limite sulla dimensione degli header e un timeout per il tempo di invio della connessione. Per HTTP\/2, a causa della complessit\u00e0 del protocollo, molte implementazioni non hanno previsto simili metodi di protezione contro l'invio infinito di header. <\/p>\n

La vulnerabilit\u00e0 rappresenta il rischio pi\u00f9 elevato per gli utenti di Node.js (CVE-2024-27983), poich\u00e9 questa implementazione consente di causare un crash inviando solo alcuni frame al server. A causa di una condizione di gara in Node.js, per indurre un crash attraverso l'attivazione di verifiche Assert \u00e8 sufficiente chiudere le connessioni mentre si invia un flusso di intestazione incompleto (crash se durante la chiusura delle connessioni non \u00e8 ancora arrivato il frame CONTINUATION con il flag END_HEADERS). La vulnerabilit\u00e0 \u00e8 stata corretta in Node.js 18.20.1, 21.7.2 e 20.12.1, cos\u00ec come nelle versioni recenti delle librerie llhttp e undici. Nelle nuove versioni di Node.js \u00e8 stata anche corretta una vulnerabilit\u00e0 meno grave (CVE-2024-27982) del tipo \u00abrequest smuggling\u00bb, che consente di iniettare contenuto nelle richieste di altri utenti, elaborate nello stesso thread tra il frontend e il backend, manipolando il valore di \u00abContent Length\u00bb. <\/p>\n

Vulnerabilit\u00e0 legate alla gestione di CONTINUATION in altre implementazioni di HTTP\/2.0: <\/p>\n