{"id":110728,"date":"2023-10-11T03:10:14","date_gmt":"2023-10-11T01:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-protokole-http-2-zadejstvovannaya-v-krupnejshej-ddos-atake"},"modified":"2023-10-11T03:10:14","modified_gmt":"2023-10-11T01:10:14","slug":"uyazvimost-v-protokole-http-2-zadejstvovannaya-v-krupnejshej-ddos-atake","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/uyazvimost-v-protokole-http-2-zadejstvovannaya-v-krupnejshej-ddos-atake","title":{"rendered":"S\u00e5rbarhet i HTTP\/2-protokollet, som anv\u00e4ndes i den st\u00f6rsta DDoS-attacken","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Google har registrerat den st\u00f6rsta DDoS-attacken mot sin infrastruktur, med en intensitet p\u00e5 398 miljoner f\u00f6rfr\u00e5gningar per sekund. Den nya attacken \u00f6vertr\u00e4ffar den tidigare rekordd\u00f6mda DDoS-attacken med sju g\u00e5nger intensitet, d\u00e4r angripare lyckades generera en str\u00f6m av 47 miljoner f\u00f6rfr\u00e5gningar per sekund. Som j\u00e4mf\u00f6relse uppskattas den totala trafiken p\u00e5 hela webben ligga p\u00e5 1-3 miljarder f\u00f6rfr\u00e5gningar per sekund. F\u00f6rutom Google drabbades \u00e4ven f\u00f6retagen Amazon och Cloudflare av attacken. M\u00f6jligheten till en ny attack \u00e4r kopplad till en s\u00e5rbarhet som uppt\u00e4ckts i HTTP\/2-protokollet (CVE-2023-44487), vilket m\u00f6jligg\u00f6r att en stor m\u00e4ngd f\u00f6rfr\u00e5gningar kan riktas mot servern med minimal belastning p\u00e5 klienten. <\/p>\n

Den nya attackmetoden kallas f\u00f6r «Rapid Reset» och utnyttjar de multiplexeringsverktyg som tillhandah\u00e5lls av HTTP\/2, vilket m\u00f6jligg\u00f6r skapande av en beg\u00e4rningsstr\u00f6m inom redan etablerade anslutningar, utan att \u00f6ppna nya n\u00e4tverksanslutningar och utan att v\u00e4nta p\u00e5 bekr\u00e4ftelse av mottagna paket. S\u00e5rbarheten betraktas som ett resultat av brister i HTTP\/2-protokollet, d\u00e4r det i specen anges att n\u00e4r man f\u00f6rs\u00f6ker \u00f6ppna ett f\u00f6r stort antal str\u00f6mmar, b\u00f6r endast de str\u00f6mmar som \u00f6verskrider gr\u00e4nsen avslutas, men hela n\u00e4tverksanslutningen inte st\u00e4ngas. <\/p>\n

I likhet med tidigare anv\u00e4nda metoder f\u00f6r attack p\u00e5 HTTP\/2 skapas \u00e4ven i den nya attacken ett stort antal fl\u00f6den inom en och samma koppling. En avg\u00f6rande skillnad med den nya attacken \u00e4r att ist\u00e4llet f\u00f6r att v\u00e4nta p\u00e5 svar skickas ett ram med RST_STREAM-flaggan omedelbart efter varje skickad f\u00f6rfr\u00e5gan, vilket omedelbart avbryter f\u00f6rfr\u00e5gan. Att avbryta f\u00f6rfr\u00e5gan i ett tidigt skede g\u00f6r det m\u00f6jligt att eliminera den omgivande trafiken mot klienten och kringg\u00e5 de begr\u00e4nsningar som finns p\u00e5 HTTP-servrar r\u00f6rande det maximala antalet fl\u00f6den som kan vara \u00f6ppna inom en och samma HTTP\/2-koppling. S\u00e5ledes slutar m\u00e4ngden f\u00f6rfr\u00e5gningar som riktas till HTTP-servern i den nya attacken att bero p\u00e5 f\u00f6rdr\u00f6jningar mellan avs\u00e4ndning av f\u00f6rfr\u00e5gningar och mottagande av svar (RTT, round-trip time) och beror endast p\u00e5 den tillg\u00e4ngliga bandbredden.

\"S\u00e5rbarhet<\/center> <\/p>\n

Eftersom det r\u00e4cker med att skicka f\u00f6rfr\u00e5gningar utan att f\u00e5 svar f\u00f6r att genomf\u00f6ra en attack p\u00e5 klientsidan, kan attacken utf\u00f6ras med minimala overheadkostnader. Ett exempel \u00e4r en attack uppt\u00e4ckt av f\u00f6retaget Cloudflare, som hade 201 miljoner f\u00f6rfr\u00e5gningar per sekund och genomf\u00f6rdes med hj\u00e4lp av en relativt liten botn\u00e4t med 20 000 datorer. P\u00e5 serversidan servern<\/a> \u00e4r kostnaderna f\u00f6r att bearbeta de inkommande f\u00f6rfr\u00e5gningarna betydligt h\u00f6gre, trots att de annulleras, eftersom det \u00e4r n\u00f6dv\u00e4ndigt att utf\u00f6ra operationer som att allokera datakonstruktioner f\u00f6r nya fl\u00f6den, parsa f\u00f6rfr\u00e5gan, packa upp rubriken och matcha URL med resursen. Vid attacker mot omv\u00e4nda proxyer kan attacken sprida sig till baksidan, eftersom proxy kan hinna omdirigera f\u00f6rfr\u00e5gan till baksidan f\u00f6re behandlingen av RST_STREAM-ramen. <\/p>\n

Attacken kan endast genomf\u00f6ras mot s\u00e5rbara servrar som st\u00f6der HTTP\/2 (ett skript f\u00f6r att kontrollera s\u00e5rbarheten i servrar, verktyg f\u00f6r att genomf\u00f6ra attacken). F\u00f6r HTTP\/3 har inga attacker registrerats \u00e4n och m\u00f6jligheten att genomf\u00f6ra dem har \u00e4nnu inte analyserats, men representanter fr\u00e5n Google rekommenderar utvecklare servrar<\/a> att inkludera skydds\u00e5tg\u00e4rder i implementeringarna av HTTP\/3, liknande de som inf\u00f6rts f\u00f6r att blockera attacker mot HTTP\/2. <\/p>\n

S\u00e5rbarhet och tillg\u00e5ng till korrigeringar f\u00f6r HTTP-servrar och proxyer: <\/p>\n