2 ភាពងាយរងគ្រោះរបស់ DoS ត្រូវបានកំណត់អត្តសញ្ញាណនៅក្នុងការអនុវត្តផ្សេងៗនៃពិធីការ HTTP/8

អ្នកស្រាវជ្រាវមកពីក្រុមហ៊ុន Netflix និង Google កំណត់អត្តសញ្ញាណ មានភាពងាយរងគ្រោះចំនួនប្រាំបីនៅក្នុងការអនុវត្តផ្សេងៗនៃពិធីការ HTTP/2 ដែលអាចបណ្តាលឱ្យមានការបដិសេធសេវាកម្មដោយការផ្ញើសំណើបណ្តាញតាមមធ្យោបាយជាក់លាក់មួយ។ បញ្ហាប៉ះពាល់ដល់ម៉ាស៊ីនមេ HTTP ភាគច្រើនដែលមានការគាំទ្រ HTTP/2 ដល់កម្រិតខ្លះ ហើយបណ្តាលឱ្យកម្មករអស់អង្គចងចាំ ឬបង្កើតការផ្ទុកស៊ីភីយូច្រើនពេក។ ការអាប់ដេតដែលលុបបំបាត់ភាពងាយរងគ្រោះត្រូវបានបង្ហាញរួចហើយនៅក្នុង nginx 1.16.1/1.17.3 и H2O 2.2.6ប៉ុន្តែសម្រាប់ពេលនេះ មិនអាចប្រើបាន សម្រាប់ Apache httpd និង ផលិតផលផ្សេងទៀត។.

បញ្ហាដែលបណ្តាលមកពីភាពស្មុគស្មាញដែលបានណែនាំទៅក្នុងពិធីការ HTTP/2 ដែលទាក់ទងនឹងការប្រើប្រាស់រចនាសម្ព័ន្ធប្រព័ន្ធគោលពីរ ប្រព័ន្ធសម្រាប់កំណត់លំហូរទិន្នន័យក្នុងការតភ្ជាប់ យន្តការផ្តល់អាទិភាពលំហូរ និងវត្តមាននៃសារត្រួតពិនិត្យដូច ICMP ដែលដំណើរការនៅការតភ្ជាប់ HTTP/2 កម្រិត (ឧទាហរណ៍ ping កំណត់ឡើងវិញ និងការកំណត់លំហូរ)។ ការអនុវត្តជាច្រើនមិនបានកំណត់យ៉ាងត្រឹមត្រូវនូវលំហូរនៃសារត្រួតពិនិត្យ មិនបានគ្រប់គ្រងជួរអាទិភាពប្រកបដោយប្រសិទ្ធភាពនៅពេលដំណើរការសំណើ ឬបានប្រើការអនុវត្តល្អបំផុតនៃក្បួនដោះស្រាយការគ្រប់គ្រងលំហូរ។

ភាគច្រើននៃវិធីសាស្រ្តវាយប្រហារដែលបានកំណត់គឺចុះមកដើម្បីផ្ញើសំណើជាក់លាក់ទៅម៉ាស៊ីនមេ ដែលនាំទៅដល់ការបង្កើតការឆ្លើយតបមួយចំនួនធំ។ ប្រសិនបើម៉ាស៊ីនភ្ញៀវមិនអានទិន្នន័យពីរន្ធ ហើយមិនបិទការភ្ជាប់ទេ ជួរផ្ទុកការឆ្លើយតបនៅលើផ្នែកម៉ាស៊ីនមេនឹងបន្តបំពេញ។ ឥរិយាបថនេះបង្កើតបន្ទុកលើប្រព័ន្ធគ្រប់គ្រងជួរសម្រាប់ដំណើរការការតភ្ជាប់បណ្តាញ ហើយអាស្រ័យលើលក្ខណៈនៃការអនុវត្ត នាំឱ្យអស់កំលាំងនៃអង្គចងចាំ ឬធនធាន CPU ។

ភាពងាយរងគ្រោះដែលបានកំណត់អត្តសញ្ញាណ៖

• CVE-2019-9511 (Data Dribble) - អ្នកវាយប្រហារស្នើសុំចំនួនទិន្នន័យយ៉ាងច្រើនទៅក្នុងខ្សែស្រឡាយជាច្រើនដោយរៀបចំទំហំបង្អួចរអិល និងអាទិភាពខ្សែស្រឡាយ ដោយបង្ខំឱ្យម៉ាស៊ីនមេដាក់ជួរទិន្នន័យក្នុងប្លុក 1 បៃ។
• CVE-2019-9512 (Ping Flood) - អ្នកវាយប្រហារបន្តបំពុលសារ ping លើការភ្ជាប់ HTTP/2 ដែលបណ្តាលឱ្យជួរខាងក្នុងនៃការឆ្លើយតបដែលបានផ្ញើទៅជន់លិចនៅម្ខាងទៀត។
• CVE-2019-9513 (Resource Loop) - អ្នកវាយប្រហារបង្កើតខ្សែស្រឡាយសំណើជាច្រើន ហើយបន្តផ្លាស់ប្តូរអាទិភាពនៃខ្សែស្រឡាយ ដែលបណ្តាលឱ្យមែកធាងអាទិភាពត្រូវសាប់។
• CVE-2019-9514 (កំណត់ទឹកជំនន់ឡើងវិញ) - អ្នកវាយប្រហារបង្កើតខ្សែស្រឡាយជាច្រើន
  ហើយផ្ញើសំណើមិនត្រឹមត្រូវតាមរយៈខ្សែស្រឡាយនីមួយៗ ដែលបណ្តាលឱ្យម៉ាស៊ីនមេផ្ញើស៊ុម RST_STREAM ប៉ុន្តែមិនទទួលយកពួកវាដើម្បីបំពេញជួរឆ្លើយតប។

• CVE-2019-9515 (Settings Flood) - អ្នកវាយប្រហារផ្ញើការផ្សាយនៃស៊ុម "SETTINGS" ទទេ ជាការឆ្លើយតបដែលម៉ាស៊ីនមេត្រូវតែទទួលស្គាល់ការទទួលសំណើនីមួយៗ។
• CVE-2019-9516 (0-Length Headers Leak) - អ្នកវាយប្រហារផ្ញើការផ្សាយបឋមកថាដែលមានឈ្មោះទទេ និងតម្លៃ null ហើយម៉ាស៊ីនមេបែងចែកសតិបណ្ដោះអាសន្នដើម្បីរក្សាទុកបឋមកថានីមួយៗ ហើយមិនបញ្ចេញវារហូតដល់វគ្គបញ្ចប់ ;
• CVE-2019-9517 (Internal Data Buffering) - អ្នកវាយប្រហារបើក
  បង្អួចរអិល HTTP/2 សម្រាប់ម៉ាស៊ីនមេដើម្បីបញ្ជូនទិន្នន័យដោយគ្មានការរឹតបន្តឹង ប៉ុន្តែបិទបង្អួច TCP ដោយការពារទិន្នន័យពីការសរសេរទៅរន្ធ។ បន្ទាប់មក អ្នកវាយប្រហារផ្ញើសំណើដែលទាមទារការឆ្លើយតបដ៏ធំ។

• CVE-2019-9518 (Empty Frames Flood) - អ្នកវាយប្រហារផ្ញើស្ទ្រីមនៃស៊ុមនៃប្រភេទ DATA, HEADERS, CONTINUATION, ឬ PUSH_PROMISE ប៉ុន្តែជាមួយនឹងបន្ទុកទទេ និងគ្មានទង់ការបញ្ចប់លំហូរ។ ម៉ាស៊ីនមេចំណាយពេលដំណើរការស៊ុមនីមួយៗ មិនសមាមាត្រទៅនឹងកម្រិតបញ្ជូនដែលប្រើប្រាស់ដោយអ្នកវាយប្រហារ។

ប្រភព: opennet.ru