HTTP/2 प्रोटोकलको विभिन्न कार्यान्वयनहरूमा 8 DoS कमजोरीहरू पहिचान गरिएको छ

नेटफ्लिक्स र गुगलका अनुसन्धानकर्ताहरू खुलासा HTTP/2 प्रोटोकलको विभिन्न कार्यान्वयनहरूमा आठ कमजोरीहरू छन् जसले एक निश्चित तरिकामा नेटवर्क अनुरोधहरूको स्ट्रिम पठाएर सेवा अस्वीकार गर्न सक्छ। समस्याले केही हदसम्म HTTP/2 समर्थन भएका धेरैजसो HTTP सर्भरहरूलाई असर गर्छ र कार्यकर्ताको मेमोरी समाप्त हुन्छ वा धेरै CPU लोड सिर्जना हुन्छ। कमजोरीहरू हटाउने अपडेटहरू पहिले नै प्रस्तुत गरिएका छन् nginx 1.16.1/1.17.3 и H2O 2.2.6, तर अहिलेको लागि अनुपलब्ध Apache httpd को लागि र अन्य उत्पादनहरु.

समस्याहरू HTTP/2 प्रोटोकलमा बाइनरी संरचनाहरूको प्रयोगसँग सम्बन्धित जटिलताहरू, जडानहरू भित्र डाटा प्रवाह सीमित गर्ने प्रणाली, एक प्रवाह प्राथमिकता संयन्त्र, र HTTP/2 जडानमा सञ्चालन हुने ICMP-जस्तो नियन्त्रण सन्देशहरूको उपस्थितिको कारण उत्पन्न भएको हो। स्तर (उदाहरणका लागि, पिंग, रिसेट, र प्रवाह सेटिङहरू)। धेरै कार्यान्वयनहरूले नियन्त्रण सन्देशहरूको प्रवाहलाई ठीकसँग सीमित गरेनन्, अनुरोधहरू प्रशोधन गर्दा प्राथमिकताको लाइनलाई कुशलतापूर्वक व्यवस्थापन गरेनन्, वा प्रवाह नियन्त्रण एल्गोरिदमहरूको सबोप्टिमल कार्यान्वयनहरू प्रयोग गरे।

धेरै जसो पहिचान गरिएका आक्रमण विधिहरू सर्भरमा निश्चित अनुरोधहरू पठाउनको लागि तल आउँछन्, जसले ठूलो संख्यामा प्रतिक्रियाहरूको उत्पादन गर्दछ। यदि क्लाइन्टले सकेटबाट डाटा पढ्दैन र जडान बन्द गर्दैन भने, सर्भर साइडमा प्रतिक्रिया बफरिङ कतार लगातार भरिन्छ। यो व्यवहारले नेटवर्क जडानहरू प्रशोधन गर्नका लागि लाम व्यवस्थापन प्रणालीमा भार सिर्जना गर्दछ र कार्यान्वयन सुविधाहरूमा निर्भर गर्दै, उपलब्ध मेमोरी वा CPU स्रोतहरूको थकान निम्त्याउँछ।

पहिचान गरिएका कमजोरीहरू:

• CVE-2019-9511 (डेटा ड्रिबल) - एक आक्रमणकर्ताले स्लाइडिङ विन्डोको आकार र थ्रेड प्राथमिकतालाई हेरफेर गरेर धेरै थ्रेडहरूमा डेटाको ठूलो मात्रा अनुरोध गर्दछ, सर्भरलाई 1-बाइट ब्लकहरूमा डेटा लाममा राख्न बाध्य पार्छ;
• CVE-2019-9512 (Ping Flood) - एक आक्रमणकारीले HTTP/2 जडानमा लगातार पिंग सन्देशहरू विषाक्त गर्दछ, जसले गर्दा अर्को तिर बाढीमा पठाइएका प्रतिक्रियाहरूको आन्तरिक कतार निम्त्याउँछ;
• CVE-2019-9513 (संसाधन लूप) - एक आक्रमणकारीले धेरै अनुरोध थ्रेडहरू सिर्जना गर्दछ र थ्रेडहरूको प्राथमिकतालाई निरन्तर परिवर्तन गर्दछ, प्राथमिकताको रूखलाई शफल गर्नको लागि;
• CVE-2019-9514 (रिसेट फ्लड) - एक आक्रमणकारीले धेरै थ्रेडहरू सिर्जना गर्दछ
  र प्रत्येक थ्रेड मार्फत अमान्य अनुरोध पठाउँदछ, सर्भरले RST_STREAM फ्रेमहरू पठाउनको लागि, तर तिनीहरूलाई प्रतिक्रिया लाम भर्न स्वीकार गर्दैन;

• CVE-2019-9515 (सेटिङ्स फ्लड) - आक्रमणकारीले खाली "SETTINGS" फ्रेमहरूको स्ट्रिम पठाउँछ, जसको जवाफमा सर्भरले प्रत्येक अनुरोधको प्राप्ति स्वीकार गर्नुपर्छ;
• CVE-2019-9516 (0-लम्बाइ हेडर लीक) - एक आक्रमणकर्ताले शून्य नाम र शून्य मानको साथ हेडरहरूको स्ट्रिम पठाउँछ, र सर्भरले प्रत्येक हेडर भण्डारण गर्न मेमोरीमा बफर आवंटित गर्दछ र सत्र समाप्त नभएसम्म यसलाई जारी गर्दैन। ;
• CVE-2019-9517 (आन्तरिक डाटा बफरिङ) - आक्रमणकर्ता खुल्छ
  सर्भरको लागि HTTP/2 स्लाइडिङ विन्डो प्रतिबन्ध बिना डाटा पठाउनको लागि, तर TCP विन्डो बन्द राख्छ, डाटालाई सकेटमा लेख्नबाट रोक्दै। अर्को, आक्रमणकारीले ठूलो प्रतिक्रिया चाहिने अनुरोधहरू पठाउँछ;

• CVE-2019-9518 (Empty Frames Flood) - आक्रमणकारीले DATA, HEADERS, CONTINUATION, वा PUSH_PROMISE प्रकारको फ्रेमहरूको स्ट्रिम पठाउँछ, तर खाली पेलोड र कुनै प्रवाह समाप्ति झण्डा छैन। सर्भरले प्रत्येक फ्रेमलाई प्रशोधन गर्न समय खर्च गर्दछ, आक्रमणकर्ताले खपत गरेको ब्यान्डविथसँग असमान।

स्रोत: opennet.ru