Fitohizan'ny fanafihana tondra-drano miteraka olana amin'ny mpizara mampiasa HTTP/2.0

Nambara ny vaovao momba ny fomba fanafihana "Continuation flood" misy fiantraikany amin'ny fampiharana isan-karazany amin'ny protocol HTTP/2, ao anatin'izany ny Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net/http2, Envoy, oghttp ary nghttp2. Ny vulnerability dia azo ampiasaina amin'ny fanafihan'ny mpizara izay manohana ny HTTP/2.0 ary, miankina amin'ny fampiharana, dia mitarika ho amin'ny faharerahan'ny fitadidiana (fampitsaharana ny fanodinana fangatahana na ny fianjerana) na ny famoronana enta-mavesatra CPU (fihenam-bidy amin'ny fanodinana fangatahana). Araka ny filazan'ny mpikaroka nahita ny vulnerability, ny olana fantatra dia mampidi-doza kokoa noho ny vulnerability "Reset haingana" hita tamin'ny taon-dasa, izay nampiasaina hanatanterahana ny fanafihana DDoS lehibe indrindra tamin'izany fotoana izany.

Ny haavon'ny loza dia hazavain'ny hoe mba hanakorontanana ny asa mpizaraMba hiteraka fianjerana, na fihenan'ny fahombiazana lehibe, dia ampy ny mamorona andiana fangatahana namboarina manokana avy amin'ny solosaina tokana sy mahazatra. Amin'ny tranga sasany, na dia fifandraisana TCP tokana aza dia ampy hanaovana fanafihana. Ankoatra izany, ny fifamoivoizana mifandraika amin'ny fanafihana dia tsy misongadina ao amin'ny logs avy amin'ny fangatahan'ny mpampiasa mahazatra.

Ny vulnerability dia vokatry ny fanodinana ny frame HEADERS sy CONTINUATION amin'ny fangatahana HTTP/2. Ny frame HEADERS dia ampiasaina amin'ny HTTP/2 mba handefasana lohapejy HTTP, ary ny frame CONTINUATION dia ampiasaina mba hizarana ny fandefasana ny lohapejy HTTP ho dingana maromaro (ohatra, rehefa tsy mifanaraka amin'ny frame iray ny lohapejy, na rehefa misy lohapejy azo fenoina. amin'ny dingana amin'izao fotoana izao dia tokony halefa aloha, ary avy eo dia avereno indray ny lohateniny izay tsy mbola voafaritra ny sandany). Rehefa mandefa lohapejy amin'ny dingana maro dia alefa aloha ny frame HEADERS tsy misy saina END_HEADERS, arahin'ny frame CONTINUATION maromaro misy lohapejy fanampiny, ary frame CONTINUATION misy saina END_HEADERS no mamarana ny lisitra.

Метод атаки сводится к отправке непрекращающегося потока кадров CONTINUATION без выставления флага END_HEADERS. Подобная активность приводит к передаче на mpizara большого числа заголовков, которые сервер сохраняет в оперативной памяти до тех пор, пока доступная процессу память не будет исчерпана. Для создания высокой нагрузки на CPU помимо исчерпания памяти атакующий может воспользоваться сжатием содержимого кадров CONTINUATION с использованием формата HPACK, разбор которого требует вычислений. В реализациях протокола HTTP/1.1 для защиты от затопления сервера заголовками применялся лимит на размер заголовков и таймаут на время отправки соединения. Для HTTP/2 в силу усложнения протокола многие реализации не предусмотрели подобные методы защиты от бесконечной отправки заголовков.

Ny vulnerability dia mampidi-doza indrindra ho an'ny mpampiasa ny Node.js (CVE-2024-27983), satria io fampiharana io dia mety hiteraka fianjerana amin'ny fandefasana sary vitsivitsy amin'ny mpizara. Noho ny fepetran'ny hazakazaka ao amin'ny Node.js, mba hahatonga ny fanafoanana amin'ny alàlan'ny fanamarinana Assert, dia ampy ny manajanona ny fifandraisana rehefa mandefa lohapejy tsy feno (midona raha mbola tsy tonga ny frame CONTINUATION miaraka amin'ny saina END_HEADERS rehefa mikatona ny fifandraisana. ). Ny vulnerability dia raikitra ao amin'ny Node.js 18.20.1, 21.7.2 ary 20.12.1, ary koa tamin'ny famoahana farany ny tranomboky llhttp sy undici. Ny dikan-teny vaovao an'ny Node.js koa dia manafoana ny vulnerability tsy dia mampidi-doza loatra (CVE-2024-27982) amin'ny kilasy "fanondranana an-tsokosoko", izay mamela, amin'ny alàlan'ny fanodikodinana ny sandan'ny "Halany votoaty", miditra amin'ny votoatin'ny fangatahana avy amin'ny mpampiasa hafa. nokarakaraina tao amin'ny kofehy mitovy eo anelanelan'ny frontend sy backend.

CONTINUATION mitantana ny vulnerability amin'ny fampiharana HTTP/2.0 hafa:

• oghttp (CVE-2024-27919) - fanjifana fahatsiarovana tsy misy fetra.
• Tempesta FW (CVE-2024-2758) - fameperana mandalo.
• PHP library amphp/http, amphp/http-client ary amphp/http-server (CVE-2024-2653) - fanjifana fahatsiarovana tsy misy fetra, hatramin'ny faharerahana tanteraka ny fitadidiana misy.
• Mandehana fonosana net/http (CVE-2023-45288) - mamorona enta-mavesatra CPU.
• tranomboky nghttp2 (CVE-2024-28182) - fandavana ny serivisy.
• Apache Httpd (CVE-2024-27316 - fanjifana fahatsiarovana be loatra sy enta-mavesatra CPU.
• Apache Traffic Server (CVE-2024-31309 - fanjifana loharanon-karena be loatra.
• Envoy (CVE-2024-30255) - mamorona enta-mavesatra amin'ny CPU (tokony 300Mbit/s dia takiana mba hamenoana tanteraka ny core CPU iray).

Source: opennet.ru