{"id":114790,"date":"2024-04-04T18:25:42","date_gmt":"2024-04-04T16:25:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0"},"modified":"2024-04-04T18:25:42","modified_gmt":"2024-04-04T16:25:42","slug":"ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/ataka-continuation-flood-privodyashhaya-k-problemam-na-serverah-ispolzuyushhih-http-2-0","title":{"rendered":"Ataque Continuation flood, que causa problemas em servidores que utilizam HTTP\/2.0.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Foi revelado um m\u00e9todo de ataque chamado 'Continuation flood', que afeta v\u00e1rias implementa\u00e7\u00f5es do protocolo HTTP\/2, incluindo Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net\/http2, Envoy, oghttp e nghttp2. Essa vulnerabilidade pode ser usada para realizar ataques em servidores que suportam HTTP\/2.0 e, dependendo da implementa\u00e7\u00e3o, pode levar ao esgotamento de mem\u00f3ria (interrompendo o processamento de solicita\u00e7\u00f5es ou causando a falha dos processos) ou a uma alta carga de CPU (atrasando o processamento das solicita\u00e7\u00f5es). Na opini\u00e3o do pesquisador que descobriu a vulnerabilidade, o problema identificado \u00e9 mais perigoso do que a vulnerabilidade 'Rapid Reset' encontrada no ano passado, que foi utilizada para realizar os maiores ataques DDoS na \u00e9poca. <\/p>\n

O alto n\u00edvel de risco \u00e9 explicado pelo fato de que, para interromper o funcionamento servidor<\/a>, causar t\u00e9rmino inesperado ou redu\u00e7\u00e3o significativa de desempenho, basta criar um fluxo de requisi\u00e7\u00f5es especialmente formatadas a partir de um computador comum. Em certos casos, um \u00fanico TCP-conex\u00e3o pode ser suficiente para realizar o ataque. Al\u00e9m disso, o tr\u00e1fego relacionado ao ataque n\u00e3o se destaca nos logs em meio \u00e0s requisi\u00e7\u00f5es normais dos usu\u00e1rios. <\/p>\n

A vulnerabilidade \u00e9 causada pelas caracter\u00edsticas do processamento dos quadros HEADERS e CONTINUATION nas requisi\u00e7\u00f5es via protocolo HTTP\/2. Os quadros HEADERS s\u00e3o usados no HTTP\/2 para transmitir cabe\u00e7alhos HTTP, enquanto os quadros CONTINUATION servem para fragmentar o envio de cabe\u00e7alhos HTTP em v\u00e1rias etapas (por exemplo, quando os cabe\u00e7alhos n\u00e3o cabem em um \u00fanico quadro ou quando os cabe\u00e7alhos que podem ser preenchidos na fase atual devem ser enviados primeiro, seguidos pelos cabe\u00e7alhos cujos valores n\u00e3o podem ser determinados ainda). Quando os cabe\u00e7alhos s\u00e3o transmitidos em v\u00e1rias etapas, primeiro um quadro HEADERS \u00e9 enviado sem o sinalizador END_HEADERS, seguido por v\u00e1rios quadros CONTINUATION com cabe\u00e7alhos adicionais, e a lista \u00e9 finalizada com um quadro CONTINUATION com o sinalizador END_HEADERS. <\/p>\n

O m\u00e9todo de ataque consiste no envio de um fluxo cont\u00ednuo de quadros CONTINUATION sem a defini\u00e7\u00e3o do sinalizador END_HEADERS. Tal atividade leva \u00e0 transmiss\u00e3o para servidor<\/a> um grande n\u00famero de cabe\u00e7alhos que o servidor mant\u00e9m na mem\u00f3ria at\u00e9 que a mem\u00f3ria dispon\u00edvel para o processo se esgote. Para criar uma alta carga na CPU, al\u00e9m de esgotar a mem\u00f3ria, um atacante pode aproveitar a compress\u00e3o do conte\u00fado dos quadros CONTINUATION utilizando o formato HPACK, cuja an\u00e1lise requer c\u00e1lculos. Em implementa\u00e7\u00f5es do protocolo HTTP\/1.1, para proteger contra a inunda\u00e7\u00e3o do servidor com cabe\u00e7alhos, foi aplicado um limite ao tamanho dos cabe\u00e7alhos e um tempo limite para o envio de conex\u00f5es. Para HTTP\/2, devido \u00e0 complexidade do protocolo, muitas implementa\u00e7\u00f5es n\u00e3o previram m\u00e9todos semelhantes de prote\u00e7\u00e3o contra o envio infinito de cabe\u00e7alhos. <\/p>\n

A vulnerabilidade representa maior perigo para os usu\u00e1rios do Node.js (CVE-2024-27983), pois essa implementa\u00e7\u00e3o permite que um servidor falhe com o envio de apenas alguns frames. Devido a uma condi\u00e7\u00e3o de corrida no Node.js, para provocar um encerramento abrupto por meio da ativa\u00e7\u00e3o da verifica\u00e7\u00e3o Assert, \u00e9 suficiente fechar as conex\u00f5es durante o envio de um fluxo incompleto de cabe\u00e7alhos (falha, se durante o fechamento das conex\u00f5es ainda n\u00e3o tiver chegado o frame CONTINUATION com o flag END_HEADERS). A vulnerabilidade foi corrigida no Node.js 18.20.1, 21.7.2 e 20.12.1, assim como nas vers\u00f5es mais recentes das bibliotecas llhttp e undici. Nas novas vers\u00f5es do Node.js, uma vulnerabilidade menos cr\u00edtica (CVE-2024-27982) da classe 'request smuggling', que permite manipular o valor 'Content Length' para infiltrar-se no conte\u00fado das solicita\u00e7\u00f5es de outros usu\u00e1rios processadas no mesmo thread entre o front-end e o back-end, tamb\u00e9m foi corrigida. <\/p>\n

Vulnerabilidades relacionadas ao processamento de CONTINUATION em outras implementa\u00e7\u00f5es do HTTP\/2.0: <\/p>\n