Teknîkek nû ya êrîşê li dijî pêkanînên HTTP/2 tê pêşkêş kirin ku êrîşên înkarkirina xizmetê bi xilaskirina çavkaniyên serverê hêsan dike. Ev lawazî, bi navê kodkirî MadeYouReset, dihêle ku çarçoveyên kontrolê yên HTTP/2 bi manîpulasyonê serverek bi hejmareke mezin ji daxwazan tijî bikin, bêyî ku sînorkirinên damezrandî derbas bikin.
Pirsgirêk ev e ku xerîdar dikare hejmareke pir mezin ji herikên ku bi hevdemî têne pêvajokirin biafirîne, bêyî ku sînorê SETTINGS_MAX_CONCURRENT_STREAMS bigire ber çavan, bi avêtina her herikekê di qonaxa destpêkê de. Ev avêtin tê vê wateyê ku şandina daxwazek nû di girêdanek HTTP/2 ya damezrandî de ne hewce ye ku xerîdar li benda bersivekê ji server û mimkun e ku di cih de herikîneke mezin û berdewam a daxwazan were şandin, heta ku firehiya kanala ragihandinê destûrê dide.
Xerîdar li gorî derengmayînên di navbera şandina daxwazek û wergirtina bersivekê de (RTT, dema çûnûhatinê) disekine û dikare êrîşek bi lêçûnek kêmtirîn pêk bîne, di heman demê de server berdewam dike ku çavkaniyan li ser pêvajoya daxwazên hatî xerc bike. Mînakî, server avahiyên daneyan ji bo herikînên nû vediqetîne, daxwazê parçe dike, sernavê vedike, û URL-ê bi çavkaniyê re li hev dike. Dema ku êrîşî proksiyên berevajî tê kirin, êrîş dikare belav bibe ser backendên ku proksiyê berî ku daxwazê were avêtin dem heye ku wan beralî bike.
Ev lawazî dişibihe pirsgirêka Resetkirina Bilez a berê (CVE-2023-44487) û ji ber nelihevhatinek di mantiqa vesazkirina herikê de ku di taybetmendiya protokola HTTP/2 de hatî destnîşankirin û di hilberên dawîn de hatî bicîh kirin çêdibe. Taybetmendî rê dide xerîdar û server ku herikek di her kêliyê de vesaz bikin, lê di gelek pêkanînên HTTP/2 de.pêşkêşkerên Piştî vesazkirineke wisa, daxwaz berdewam dike ku were pêvajokirin. Cûdahiya sereke di vê êrîşa nû de ew e ku daxwaz ji hêla serverê ve tê vesazkirin, ne ji hêla xerîdar ve ku çarçoveyek bi ala RST_STREAM dişîne.
Vegerandina ji aliyê serverê ve dest pê dike dema ku daxwazên nederbasdar tên wergirtin, lê daxwazên weha bêyî ku pêvajoya wan a tevahî dest pê bike û bêyî ku ew ji bo backendê werin şandin, tavilê têne avêtin. Ji bo ku çerxek tevahî ya pêvajoya daxwazan pêk were, êrîşkar dikare pêşî daxwazek HTTP-ya rast bişîne, lê dûv re rêzek xelet a çarçoveyên kontrola HTTP/2 bişîne. Çalakiyek wusa dê bibe sedema ku server dest bi pêvajoya tevahî ya daxwazê bike, lê dûv re, ji ber xeletiyek di pêvajoya çarçoveyên jêrîn de, ew ê herikê ji nû ve saz bike (herikê bi daxwaza rast veguhezîne rewşa RST_STREAM).
Ev pirsgirêk di serverên HTTP yên Apache Tomcat, Netty, Eclipse Jetty, Fastly, varnish, lighttpd, Zephyr RTOS de hatiye piştrastkirin. Ev pirsgirêk di malper û xizmetên serverên Mozilla de jî derdikeve holê. Pirsgirêk bandor li Apache httpd, Apache Traffic Server, Node.js, LiteSpeed, û HAProxy nake. Rewşa vê qelsiyê di nginx de nehatiye destnîşankirin.
Source: opennet.ru
