{"id":114790,"date":"2024-04-04T18:25:42","date_gmt":"2024-04-04T16:25:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0"},"modified":"2024-04-04T18:25:42","modified_gmt":"2024-04-04T16:25:42","slug":"ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","title":{"rendered":"Attacco Continuation flood, che provoca problemi ai server che utilizzano HTTP\/2.0","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Sono emerse informazioni sul metodo d'attacco \"Continuation flood\", che interessa diverse implementazioni del protocollo HTTP\/2, tra cui Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net\/http2, Envoy, oghttp e nghttp2. Questa vulnerabilit\u00e0 pu\u00f2 essere sfruttata per attaccare server che supportano HTTP\/2.0 e, a seconda dell'implementazione, pu\u00f2 portare all'esaurimento della memoria (interruzione dell'elaborazione delle richieste o terminazione anomala dei processi) o a un elevato carico sulla CPU (ritardo nell'elaborazione delle richieste). Secondo il ricercatore che ha scoperto la vulnerabilit\u00e0, il problema identificato \u00e8 pi\u00f9 pericoloso rispetto a quello \"Rapid Reset\" trovato lo scorso anno, che \u00e8 stato usato per compiere alcuni dei pi\u00f9 grandi attacchi DDoS di quel periodo. <\/p>\n

L'alto livello di pericolo \u00e8 spiegato dal fatto che per compromettere il funzionamento server<\/a>, provocare un arresto anomalo o una seria riduzione delle prestazioni \u00e8 sufficiente generare un flusso di richieste opportunamente formulate da un normale computer. In alcuni casi, per eseguire l'attacco, basta anche una sola connessione TCP. Inoltre, il traffico legato all'esecuzione dell'attacco non si distingue in alcun modo nei log rispetto alle normali richieste degli utenti. <\/p>\n

La vulnerabilit\u00e0 \u00e8 causata dalle peculiarit\u00e0 nella gestione dei frame HEADERS e CONTINUATION nelle richieste tramite il protocollo HTTP\/2. I frame HEADERS vengono utilizzati in HTTP\/2 per trasmettere gli header HTTP, mentre i frame CONTINUATION servono a suddividere l'invio degli header HTTP in pi\u00f9 fasi (ad esempio, quando gli header non possono essere contenuti in un solo frame o quando si devono prima inviare gli header che possono essere completati in questa fase, per poi inviare gli header di cui i valori non possono essere ancora determinati). Quando gli header vengono trasmessi in pi\u00f9 fasi, inizialmente viene inviato un frame HEADERS senza il flag END_HEADERS, seguito da pi\u00f9 frame CONTINUATION con ulteriori header e termina la lista un frame CONTINUATION con il flag END_HEADERS. <\/p>\n

Il metodo di attacco consiste nell'inviare un flusso ininterrotto di frame CONTINUATION senza impostare il flag END_HEADERS. Tale attivit\u00e0 porta alla trasmissione di server<\/a> un gran numero di intestazioni che il server memorizza nella memoria volatile fino a quando la memoria disponibile al processo non \u00e8 esaurita. Per creare un alto carico sulla CPU, oltre all'esaurimento della memoria, l'attaccante pu\u00f2 sfruttare la compressione del contenuto dei frame CONTINUATION utilizzando il formato HPACK, la cui\u89e3\u6790 richiede calcoli. Nelle implementazioni del protocollo HTTP\/1.1, per proteggersi dagli attacchi di flooding con le intestazioni, \u00e8 stato applicato un limite alla dimensione delle intestazioni e un timeout per il tempo di invio della connessione. Per HTTP\/2, a causa della complessit\u00e0 del protocollo, molte implementazioni non hanno previsto metodi simili di protezione contro l'invio infinito di intestazioni. <\/p>\n

La vulnerabilit\u00e0 rappresenta un pericolo maggiore per gli utenti di Node.js (CVE-2024-27983), poich\u00e9 questa implementazione consente di causare un crash inviando solo pochi frame al server. A causa di una condizione di gara in Node.js, \u00e8 sufficiente terminare le connessioni durante l'invio di uno stream di intestazione incompleto per attivare una terminazione anomala tramite l'attivazione di un controllo Assert (crash se il frame CONTINUATION con il flag END_HEADERS non \u00e8 ancora arrivato durante la chiusura delle connessioni). La vulnerabilit\u00e0 \u00e8 stata corretta in Node.js 18.20.1, 21.7.2 e 20.12.1, oltre che nelle nuove versioni delle librerie llhttp e undici. Nelle nuove versioni di Node.js \u00e8 stata corretta anche una vulnerabilit\u00e0 meno pericolosa (CVE-2024-27982) della categoria \"request smuggling\", che consente di infiltrarsi nel contenuto delle richieste di altri utenti manipolando il valore \"Content Length\" tra il frontend e il backend. <\/p>\n

Vulnerabilit\u00e0 legate alla gestione dei CONTINUATION in altre implementazioni di HTTP\/2.0: <\/p>\n