2 ຊ່ອງໂຫວ່ຂອງ DoS ໄດ້ຖືກລະບຸໃນການປະຕິບັດຕ່າງໆຂອງ HTTP/8 protocol

ນັກຄົ້ນຄວ້າຈາກ Netflix ແລະ Google ກໍານົດ ມີແປດຊ່ອງໂຫວ່ໃນການປະຕິບັດຕ່າງໆຂອງ HTTP/2 protocol ທີ່ສາມາດເຮັດໃຫ້ເກີດການປະຕິເສດການບໍລິການໂດຍການສົ່ງກະແສການຮ້ອງຂໍເຄືອຂ່າຍໃນທາງທີ່ແນ່ນອນ. ບັນຫາດັ່ງກ່າວສົ່ງຜົນກະທົບຕໍ່ເຄື່ອງແມ່ຂ່າຍ HTTP ສ່ວນໃຫຍ່ທີ່ມີການສະຫນັບສະຫນູນ HTTP / 2 ໃນລະດັບໃດຫນຶ່ງແລະສົ່ງຜົນໃຫ້ຜູ້ເຮັດວຽກຂາດຄວາມຈໍາຫຼືສ້າງການໂຫຼດ CPU ຫຼາຍເກີນໄປ. ການອັບເດດທີ່ກຳຈັດຊ່ອງໂຫວ່ໄດ້ຖືກນຳສະເໜີແລ້ວ nginx 1.16.1/1.17.3 и H2O 2.2.6, ແຕ່ສໍາລັບໃນປັດຈຸບັນ ບໍ່ສາມາດໃຊ້ໄດ້ ສໍາລັບ Apache httpd ແລະ ຜະ​ລິດ​ຕະ​ພັນ​ອື່ນໆ​.

ບັນຫາທີ່ເກີດຈາກອາການແຊກຊ້ອນທີ່ນໍາສະເຫນີເຂົ້າໄປໃນ HTTP / 2 ໂປໂຕຄອນທີ່ກ່ຽວຂ້ອງກັບການນໍາໃຊ້ໂຄງສ້າງຖານສອງ, ລະບົບການຈໍາກັດການໄຫຼເຂົ້າຂອງຂໍ້ມູນພາຍໃນການເຊື່ອມຕໍ່, ກົນໄກການຈັດລໍາດັບຄວາມສໍາຄັນຂອງການໄຫຼເຂົ້າ, ແລະການປະກົດຕົວຂອງຂໍ້ຄວາມຄວບຄຸມທີ່ຄ້າຍຄືກັບ ICMP ດໍາເນີນການຢູ່ໃນການເຊື່ອມຕໍ່ HTTP / 2. ລະດັບ (ຕົວຢ່າງ, ping, reset, and flow settings). ການປະຕິບັດຈໍານວນຫຼາຍບໍ່ໄດ້ຈໍາກັດການໄຫຼເຂົ້າຂອງຂໍ້ຄວາມຄວບຄຸມຢ່າງຖືກຕ້ອງ, ບໍ່ໄດ້ຈັດການຄິວບູລິມະສິດຢ່າງມີປະສິດທິພາບໃນເວລາທີ່ການຮ້ອງຂໍການປຸງແຕ່ງ, ຫຼືນໍາໃຊ້ການປະຕິບັດທີ່ດີທີ່ສຸດຂອງຂັ້ນຕອນການຄວບຄຸມການໄຫຼ.

ສ່ວນໃຫຍ່ຂອງວິທີການໂຈມຕີທີ່ຖືກກໍານົດແມ່ນລົງມາເພື່ອສົ່ງຄໍາຮ້ອງຂໍສະເພາະໃດຫນຶ່ງໄປຫາເຄື່ອງແມ່ຂ່າຍ, ນໍາໄປສູ່ການຜະລິດການຕອບສະຫນອງຈໍານວນຫລາຍ. ຖ້າລູກຄ້າບໍ່ໄດ້ອ່ານຂໍ້ມູນຈາກຊັອກເກັດແລະບໍ່ໄດ້ປິດການເຊື່ອມຕໍ່, ຄິວ buffering ຕອບສະຫນອງຢູ່ຂ້າງເຊີຟເວີຢ່າງຕໍ່ເນື່ອງ. ພຶດຕິກໍານີ້ສ້າງການໂຫຼດໃນລະບົບການຈັດການແຖວສໍາລັບການປະມວນຜົນການເຊື່ອມຕໍ່ເຄືອຂ່າຍແລະ, ອີງຕາມລັກສະນະການປະຕິບັດ, ນໍາໄປສູ່ການຫມົດໄປຂອງຫນ່ວຍຄວາມຈໍາຫຼືຊັບພະຍາກອນ CPU.

ຊ່ອງໂຫວ່ທີ່ລະບຸໄວ້:

• CVE-2019-9511 (Data Dribble) - ຜູ້ໂຈມຕີຮ້ອງຂໍຂໍ້ມູນຈໍານວນຫຼວງຫຼາຍເຂົ້າໄປໃນຫຼາຍຫົວຂໍ້ໂດຍການຈັດການຂະຫນາດຂອງປ່ອງຢ້ຽມເລື່ອນແລະຫົວຂໍ້ບູລິມະສິດ, ບັງຄັບໃຫ້ເຄື່ອງແມ່ຂ່າຍຈັດແຖວຂໍ້ມູນໃນ 1-byte blocks;
• CVE-2019-9512 (Ping Flood) - ຜູ້ໂຈມຕີວາງພິດຂໍ້ຄວາມ ping ຢ່າງຕໍ່ເນື່ອງຜ່ານການເຊື່ອມຕໍ່ HTTP/2, ເຊິ່ງເຮັດໃຫ້ແຖວພາຍໃນຂອງການຕອບກັບທີ່ຖືກສົ່ງໄປຖ້ວມອີກດ້ານໜຶ່ງ;
• CVE-2019-9513 (Resource Loop) - ຜູ້ໂຈມຕີສ້າງຫົວຂໍ້ການຮ້ອງຂໍຫຼາຍອັນ ແລະສືບຕໍ່ປ່ຽນບູລິມະສິດຂອງກະທູ້, ເຮັດໃຫ້ຕົ້ນໄມ້ບູລິມະສິດຕ້ອງສະຫຼັບ;
• CVE-2019-9514 (Reset Flood) - ຜູ້ໂຈມຕີສ້າງຫຼາຍຫົວຂໍ້
  ແລະສົ່ງຄໍາຮ້ອງຂໍທີ່ບໍ່ຖືກຕ້ອງຜ່ານແຕ່ລະກະທູ້, ເຮັດໃຫ້ເຄື່ອງແມ່ຂ່າຍສົ່ງ RST_STREAM ເຟຣມ, ແຕ່ບໍ່ຍອມຮັບໃຫ້ເຂົາເຈົ້າຕື່ມແຖວການຕອບສະຫນອງ;

• CVE-2019-9515 (Settings Flood) - ຜູ້ໂຈມຕີສົ່ງກະແສຂອງເຟຣມ “SETTINGS” ຫວ່າງເປົ່າ, ເພື່ອຕອບສະໜອງໃຫ້ເຊີບເວີຕ້ອງຮັບຮູ້ການຮັບແຕ່ລະຄຳຮ້ອງຂໍ;
• CVE-2019-9516 (0-Length Headers Leak) – ຜູ້ໂຈມຕີສົ່ງກະແສຂອງສ່ວນຫົວທີ່ມີຊື່ null ແລະຄ່າ null, ແລະເຊີບເວີຈັດສັນ buffer ໃນຫນ່ວຍຄວາມຈໍາເພື່ອເກັບແຕ່ລະ header ແລະບໍ່ປ່ອຍມັນຈົນກ່ວາ session ສິ້ນສຸດລົງ. ;
• CVE-2019-9517 (Internal Data Buffering) - ຜູ້ໂຈມຕີເປີດ
  ປ່ອງຢ້ຽມເລື່ອນ HTTP/2 ສໍາລັບເຄື່ອງແມ່ຂ່າຍທີ່ຈະສົ່ງຂໍ້ມູນໂດຍບໍ່ມີຂໍ້ຈໍາກັດ, ແຕ່ປິດຫນ້າຕ່າງ TCP, ປ້ອງກັນບໍ່ໃຫ້ຂໍ້ມູນຖືກຂຽນໃສ່ເຕົ້າຮັບ. ຕໍ່ໄປ, ຜູ້ໂຈມຕີສົ່ງຄໍາຮ້ອງຂໍການຕອບສະຫນອງຂະຫນາດໃຫຍ່;

• CVE-2019-9518 (Empty Frames Flood) - ຜູ້ໂຈມຕີສົ່ງກະແສຂອງເຟຣມປະເພດ DATA, HEADERS, CONTINUATION, ຫຼື PUSH_PROMISE, ແຕ່ມີ payload ຫວ່າງເປົ່າ ແລະບໍ່ມີທຸງຢຸດການໄຫຼ. ເຊີບເວີໃຊ້ເວລາປະມວນຜົນແຕ່ລະກອບ, ບໍ່ສົມສ່ວນກັບແບນວິດທີ່ຜູ້ໂຈມຕີບໍລິໂພກ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru