Baarayaal ka socda Netflix iyo Google Waxaa jira sideed dayacan oo ku jira fulinta kala duwan ee borotokoolka HTTP/2 oo sababi kara diidmada adeega adoo diraya qulqulka codsiyada shabakada si gaar ah. Dhibaatadu waxay saamaysaa inta badan server-yada HTTP ee leh taageerada HTTP/2 ilaa xad waxayna keentaa in shaqaaluhu uu ka dhamaado xusuusta ama abuurista culeys badan oo CPU ah. Cusbooneysiinta baabi'isa dayacanka ayaa durba lagu soo bandhigay ΠΈ , laakiin hadda ee Apache httpd iyo .
Dhibaatooyinku waxay ka dhasheen dhibaatooyin lagu soo galiyay hab-maamuuska HTTP/2 ee la xidhiidha isticmaalka qaab-dhismeedka binary, nidaam xaddidaya qulqulka xogta ee isku xidhka, habka kala mudnaansiinta socodka, iyo joogitaanka fariimaha kontoroolka u eg ee ICMP ee ka shaqeeya xidhiidhka HTTP/2 heerka (tusaale, ping, reset, and flow settings). Hirgelin badan ayaan si sax ah u xaddidin qulqulka fariimaha kantaroolka, si hufan uma aysan maamulin safka mudnaanta marka la baaraayo codsiyada, ama isticmaal fulinta hoose ee algorithms kantaroolka socodka.
Inta badan hababka weerar ee la aqoonsaday waxay ku soo degeen codsiyo gaar ah oo loo diro server-ka, taasoo keentay soo saarida tiro badan oo jawaabo ah. Haddii macmiilku aanu akhriyin xogta godka oo aanu xidhin xidhiidhka, safka baqdinta jawaabta ee dhinaca server-ka ayaa si joogto ah u buuxinaya. Dabeecaddani waxay ku abuurtaa culays ku saabsan nidaamka maaraynta safka ee habaynta isku xidhka shabakada, iyadoo ku xidhan sifooyinka fulinta, waxay keentaa daal xusuusta la heli karo ama ilaha CPU.
Nuglaanta la aqoonsaday:
- CVE-2019-9511 (Data Dribble) -Weeraruhu waxa uu codsadaa xog aad u badan oo galmo badan leh isaga oo maamulaya cabbirka daaqada simbiririxaysa iyo mudnaanta dunta, ku qasbaya adeegaha in uu saf ugu galo xogta blocks 1-byte;
- CVE-2019-9512 (Ping Flood) -Weeraruhu wuxuu si joogto ah u sumeeyaa farriimaha ping-ka ee xidhiidhka HTTP/2, taasoo keenaysa safka gudaha ee jawaabaha loo diray daadka dhinaca kale;
- CVE-2019-9513 (Resource Loop) - weeraryahanku waxa uu abuuraa xadhigo badan oo codsi ah waxana uu si joogto ah u beddelaa mudnaanta dunta, taas oo keenaysa in geedka mudnaanta leh uu isku shaandheeyo;
- CVE-2019-9514 (Dib u Celinta Daadka) -Weeraruhu waxa uu abuuraa xadhig badan
oo u dirtaa codsi aan sax ahayn iyada oo loo marayo dun kasta, taasoo keenaysa in seerfarku soo diro RST_STREAM, laakiin ma aqbalo inay buuxiyaan safka jawaabta; - CVE-2019-9515 (Daadka Settings) -Weeraruhu waxa uu soo diraa qulqul faaruq ah oo βSETTINGSβ ah, taas oo looga jawaabayo adeeguhu waa in uu qiraa helitaanka codsi kasta;
- CVE-2019-9516 (0-Length Headers Leak) -Weeraruhu wuxuu soo diraa qulqulka madaxyada oo leh magac aan waxba lahayn iyo qiime aan jirin, server-kuna wuxuu u qoondeeyaa kaydka xusuusta si uu u kaydiyo madax kasta mana sii daayo ilaa uu fadhigu dhammaanayo. ;
- CVE-2019-9517 (Internal Data Buffering) - weeraryahanku wuu furmay
HTTP/2 daaqada simbiriirrada ah ee server-ka si uu u soo diro xogta iyada oo aan la xaddidin, laakiin waxay ilaalinaysaa daaqada TCP, oo ka hortagaysa in xogta dhabta ah lagu qoro godka. Marka xigta, weeraryahanku wuxuu soo diraa codsiyada u baahan jawaab weyn; - CVE-2019-9518 (Daadka Madhan) -Weeraruhu waxa uu soo diraa qulqulka nooc ka mid ah XOGTA, MADAXWEYNAHA, CONTINUATION, ama PUSH_PROMISE, laakiin wata culays madhan oo aan lahayn socod socod ah. Server-ku waxa uu wakhti ku qaataa habaynta shax kasta, iyada oo aan u dhigmin xadhkaha xadiga uu isticmaalo qofka weerarka gaystay.
Source: opennet.ru