Ġew identifikati 2 vulnerabbiltajiet DoS f'diversi implimentazzjonijiet tal-protokoll HTTP/8

Riċerkaturi minn Netflix u Google żvelat Hemm tmien vulnerabbiltajiet f'diversi implimentazzjonijiet tal-protokoll HTTP/2 li jistgħu jikkawżaw ċaħda ta 'servizz billi jibgħatu fluss ta' talbiet tan-netwerk b'ċertu mod. Il-problema taffettwa l-biċċa l-kbira tas-servers HTTP b'appoġġ HTTP/2 sa ċertu punt u tirriżulta fil-ħaddiem jispiċċa mingħajr memorja jew joħloq wisq tagħbija CPU. Aġġornamenti li jeliminaw il-vulnerabbiltajiet huma diġà ppreżentati fi nginx 1.16.1/1.17.3 и H2O 2.2.6, iżda għalissa mhux disponibbli għal Apache httpd u prodotti oħra.

Il-problemi rriżultaw minn kumplikazzjonijiet introdotti fil-protokoll HTTP/2 assoċjati mal-użu ta’ strutturi binarji, sistema biex jiġu limitati l-flussi tad-dejta fi ħdan il-konnessjonijiet, mekkaniżmu ta’ prijoritizzazzjoni tal-flussi, u l-preżenza ta’ messaġġi ta’ kontroll simili ICMP li joperaw fil-konnessjoni HTTP/2. livell (pereżempju, ping, reset, u settings tal-fluss). Ħafna implimentazzjonijiet ma llimitawx kif suppost il-fluss tal-messaġġi ta 'kontroll, ma mmaniġġjawx b'mod effiċjenti l-kju ta' prijorità meta pproċessaw it-talbiet, jew użaw implimentazzjonijiet subottimali ta 'algoritmi ta' kontroll tal-fluss.

Il-biċċa l-kbira tal-metodi ta 'attakk identifikati jinżlu biex jintbagħtu ċerti talbiet lis-server, li jwasslu għall-ġenerazzjoni ta' numru kbir ta 'tweġibiet. Jekk il-klijent ma jaqrax id-dejta mis-sokit u ma jagħlaqx il-konnessjoni, il-kju tal-buffering tar-rispons fuq in-naħa tas-server jimla kontinwament. Din l-imġieba toħloq tagħbija fuq is-sistema ta 'ġestjoni tal-kju għall-ipproċessar tal-konnessjonijiet tan-netwerk u, skont il-karatteristiċi tal-implimentazzjoni, twassal għall-eżawriment tar-riżorsi disponibbli tal-memorja jew tas-CPU.

Vulnerabbiltajiet identifikati:

• CVE-2019-9511 (Data Dribble) - attakkant jitlob ammont kbir ta 'dejta f'ħjut multipli billi jimmanipula d-daqs tat-tieqa li tiżżerżaq u l-prijorità tal-ħajt, u jġiegħel lis-server ipoġġi d-dejta fil-kju fi blokki ta' 1 byte;
• CVE-2019-9512 (Ping Flood) - attakkant ivvelena kontinwament messaġġi ping fuq konnessjoni HTTP/2, u jikkawża li l-kju intern tat-tweġibiet mibgħuta jingħarraq fuq in-naħa l-oħra;
• CVE-2019-9513 (Resource Loop) - attakkant joħloq ħjut ta' rikjesta multipli u kontinwament jibdel il-prijorità tal-ħjut, u jikkawża li s-siġra tal-prijorità tħawwad;
• CVE-2019-9514 (Irrisettja l-Għargħar) - attakkant joħloq ħjut multipli
  u tibgħat talba invalida permezz ta 'kull thread, li tikkawża lis-server jibgħat frames RST_STREAM, iżda ma jaċċettahomx biex jimla l-kju tar-rispons;

• CVE-2019-9515 (Settings Flood) - l-attakkant jibgħat fluss ta 'frames "SETTINGS" vojta, li bi tweġiba għalihom is-server għandu jirrikonoxxi li rċieva kull talba;
• CVE-2019-9516 (0-Length Headers Leak) – attakkant jibgħat fluss ta’ headers b’isem null u valur null, u s-server jalloka buffer fil-memorja biex jaħżen kull header u ma jirrilaxxahx sakemm tintemm is-sessjoni ;
• CVE-2019-9517 (Internal Data Buffering) - l-attakkant jiftaħ
  Tieqa li tiżżerżaq HTTP/2 għas-server biex jibgħat id-dejta mingħajr restrizzjonijiet, iżda żżomm it-tieqa TCP magħluqa, u tevita li d-dejta tiġi miktuba fis-sokit. Sussegwentement, l-attakkant jibgħat talbiet li jeħtieġu rispons kbir;

• CVE-2019-9518 (Empty Frames Flood) - Attakkant jibgħat fluss ta' frames tat-tip DATA, HEADERS, CONTINUATION, jew PUSH_PROMISE, iżda b'tagħbija vojta u l-ebda bandiera tat-terminazzjoni tal-fluss. Is-server iqatta 'ħin jipproċessa kull frame, sproporzjonat mal-bandwidth ikkunsmat mill-attakkant.

Sors: opennet.ru