{"id":114790,"date":"2024-04-04T18:25:42","date_gmt":"2024-04-04T16:25:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0"},"modified":"2024-04-04T18:25:42","modified_gmt":"2024-04-04T16:25:42","slug":"ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","title":{"rendered":"Continuation flood-aanval die problemen veroorzaakt op servers die HTTP\/2.0 gebruiken.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Details have been revealed about the \"Continuation flood\" attack method, which affects various implementations of the HTTP\/2 protocol, including Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net\/http2, Envoy, oghttp, and nghttp2. This vulnerability can be exploited to conduct attacks on servers that support HTTP\/2.0 and, depending on the implementation, can lead to memory exhaustion (cessation of request processing or abrupt process termination) or create high CPU load (slowing down request handling). According to the researcher who discovered this vulnerability, the identified issue is more dangerous than the \"Rapid Reset\" vulnerability found last year, which was used to carry out some of the largest DDoS attacks at that time. <\/p>\n

Het hoge niveau van gevaar wordt verklaard door het feit dat het verstoren van de werking de server<\/a>, het onverwacht afsluiten of het ernstig verlagen van de prestaties, voldoende is om een stroom speciaal opgemaakte verzoeken vanaf \u00e9\u00e9n gewone computer te cre\u00ebren. In bepaalde gevallen is zelfs \u00e9\u00e9n TCP-verbinding voldoende om een aanval uit te voeren. Daarbij is het verkeer dat met de aanval te maken heeft, in de logs niet te onderscheiden van de normale gebruikersverzoeken. <\/p>\n

De kwetsbaarheid wordt veroorzaakt door de manier waarop HEADERS- en CONTINUATION-frames worden verwerkt in verzoeken via het HTTP\/2-protocol. HEADERS-frames worden in HTTP\/2 gebruikt om HTTP-headers te verzenden, terwijl CONTINUATION-frames dienen om de verzending van HTTP-headers in meerdere fasen op te splitsen (bijvoorbeeld wanneer de headers niet in \u00e9\u00e9n frame passen of wanneer eerst headers moeten worden verzonden die op dit moment kunnen worden ingevuld, en daarna andere headers waarvan de waarden nog niet kunnen worden bepaald). Bij het verzenden van headers in meerdere fasen wordt eerst een HEADERS-frame zonder de END_HEADERS-vlag verzonden, gevolgd door meerdere CONTINUATION-frames met aanvullende headers, en de lijst wordt be\u00ebindigd met een CONTINUATION-frame met de END_HEADERS-vlag. <\/p>\n

De aanvalsmethode komt neer op het verzenden van een constante stroom CONTINUATION-frames zonder de END_HEADERS-vlag in te stellen. Deze activiteit leidt tot het verzenden van server<\/a> Een groot aantal headers wordt in het geheugen van de server opgeslagen totdat het beschikbare geheugen voor processen is opgebruikt. Om een hoge CPU-belasting te cre\u00ebren, kan de aanvaller naast het uitputten van het geheugen ook het comprimeren van CONTINUATION-frames gebruiken met behulp van het HPACK-formaat, waarvan de ontleding rekencapaciteit vereist. In implementaties van het HTTP\/1.1-protocol werd een limiet voor de grootte van de headers en een time-out voor de verbindingsinstelling toegepast ter bescherming tegen het overbelasten van de server met headers. Aangezien het HTTP\/2-protocol complexer is, hebben veel implementaties geen vergelijkbare beschermingsmethoden voorzien tegen eindeloze header-verzending. <\/p>\n

The vulnerability poses the greatest danger to Node.js users (CVE-2024-27983), as this implementation allows a crash to be triggered by sending just a few frames to the server. Due to a race condition in Node.js, invoking a crash via an Assert check is possible by closing connections while sending an incomplete header stream (a crash occurs if the CONTINUATION frame with the END_HEADERS flag has not yet arrived while closing the connections). The vulnerability has been fixed in Node.js versions 18.20.1, 21.7.2, and 20.12.1, as well as in the latest releases of the llhttp and undici libraries. The new versions of Node.js also fix a less critical vulnerability (CVE-2024-27982) of the \"request smuggling\" class, which allows content from requests of other users handled in the same thread between the frontend and backend to be manipulated through the \"Content Length\" value. <\/p>\n

Kwetsbaarheden met betrekking tot de verwerking van CONTINUATION in andere implementaties van HTTP\/2.0: <\/p>\n