Половина интернета снова держится на синей изоленте

Половина интернета снова держится на синей изоленте. Исследователи Calif откопали уязвимость HTTP/2 Bomb, которая позволяет с обычного домашнего ноутбука положить сервера на nginx, Apache, IIS и Envoy. Никаких гигантских ботнетов не нужно, хватит скромного канала в 100 Мбит/с, чтобы за пару секунд сожрать десятки гигабайт оперативки на сервере и увести его в глухой даун.

Технически это классический франкенштейн из двух старых багов, а именно компрессионной бомбы и дедовского удержания соединения а-ля Slowloris.

Атакующий отправляет крошечный пакет, заставляя сервер разворачивать у себя в памяти гигантские структуры заголовков, а потом просто держит соединение открытым. Сервер видит активность, послушно ждет и не освобождает память. Интересно, что эту схему подсветил ИИ. OpenAI Codex покопался в кодовых базах и показал, как заставить сервера давиться собственными Cookie.

Nginx и Apache уже выкатили фиксы (завезли лимиты на заголовки), а вот юзерам Microsoft IIS и Envoy пока предлагают страдать или отключать HTTP/2 от греха подальше. Если не можете обновиться, то режьте память воркерам жесткими лимитами. Пусть лучше падают по одному, чем утащат за собой весь хост...

Телеграм: t.me/ainewsline

Источник: vk.com

Комментарии: