{"id":37095,"date":"2019-10-31T22:15:43","date_gmt":"2019-10-31T19:15:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-razlichnyh-realizatsiyah-protokola-http-2-vyyavleno-8-dos-uyazvimostej\/"},"modified":"2019-10-31T22:15:43","modified_gmt":"2019-10-31T19:15:43","slug":"v-razlichnyh-realizatsiyah-protokola-http-2-vyyavleno-8-dos-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/v-razlichnyh-realizatsiyah-protokola-http-2-vyyavleno-8-dos-uyazvimostej","title":{"rendered":"In verschillende implementaties van het HTTP\/2-protocol zijn 8 DoS-kw Vulnerabilities vastgesteld.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Onderzoekers van Netflix en Google hebben aangetoond<\/a><\/noindex> hebben acht kwetsbaarheden ontdekt in verschillende implementaties van het HTTP\/2-protocol, die kunnen leiden tot een denial-of-service door het verzenden van netwerkverzoeken die op een bepaalde manier zijn opgesteld. Deze problemen raken in meer of mindere mate de meeste HTTP-servers die HTTP\/2 ondersteunen en leiden tot uitputting van het beschikbare geheugen voor de werkprocessen of tot een te hoge belasting van de CPU. Updates om deze kwetsbaarheden te verhelpen zijn inmiddels beschikbaar in nginx 1.16.1\/1.17.3<\/a><\/noindex> en H2O 2.2.6<\/a><\/noindex>, maar voorlopig niet beschikbaar<\/a><\/noindex> voor Apache httpd en andere producten<\/a><\/noindex>.<\/p>\n

De problemen zijn het gevolg van complicaties die zijn aangebracht in het HTTP\/2-protocol, gerelateerd aan het gebruik van binaire structuren, een systeem van datastroombeperkingen binnen verbindingen, het mechanisme voor het prioriteren van stromen en de aanwezigheid van ICMP-achtige control messages die werken op het niveau van de HTTP\/2-verbinding (zoals ping-operaties, het resetten en instellen van stromen). Veel implementaties beperkten de stroom van control messages niet correct, organiseerden de prioriteitswachtrij ineffici\u00ebnt bij het verwerken van aanvragen, of gebruikten suboptimale implementaties van stroomsnelheidsalgoritmen.<\/p>\n

De meeste ontdekte aanvalsmethoden komen neer op het verzenden van specifieke verzoeken naar de server, die leiden tot het genereren van een groot aantal antwoorden. Als de client de gegevens uit de socket niet leest en de verbinding niet verbreekt, wordt de antwoordbufferwachtrij aan de server voortdurend gevuld. Dit gedrag cre\u00ebert een belasting voor het systeem dat de wachtrij voor het beheren van netwerkverbindingen afhandelt en leidt afhankelijk van de implementatiedetails tot de uitputting van het beschikbare geheugen of CPU-resources.<\/p>\n

Ge\u00efdentificeerde kwetsbaarheden:<\/p>\n