microsoft

نقایص جدید HTTP/2، سرورهای وب پچ نشده را در معرض حملات داس (DoS) قرار می دهد

نقایص جدید HTTP/2، سرورهای وب پچ نشده را در معرض حملات داس (DoS) قرار می دهد

چند مورد از پیاده سازی های پروتکل HTTP/2 در مقابل حملاتی آسیب پذیرند و می توانند منابع کافی را برای ایجاد وضعیت DoS (محروم سازی از سرویس) بر روی سرورهای پچ نشده مورد استفاده قرار دهند. این کار با سوء استفاده از آسیب پذیری های سرورهایی آغاز می شود که از ارتباط HTTP/2 پشتیبانی می…

چند مورد از پیاده سازی های پروتکل HTTP/2 در مقابل حملاتی آسیب پذیرند و می توانند منابع کافی را برای ایجاد وضعیت DoS (محروم سازی از سرویس) بر روی سرورهای پچ نشده مورد استفاده قرار دهند.

این کار با سوء استفاده از آسیب پذیری های سرورهایی آغاز می شود که از ارتباط HTTP/2 پشتیبانی می کنند و بر اساس آمارهای فعلی  W3Techs  حدود 40 درصد از وب سایت های اینترنتی امروزه دارای این نوع ارتباطات هستند.

 

گونه های مختلف از یک نوع

به تازگی از هشت آسیب پذیری پرده برداشته شد که می توانند عامل ایجاد وضعیت DoS باشند. بسیاری از تأمین کنندگان برای رفع مشکلات سیستم های خود را پچ کرده اند.

این آسیب پذیری ها با کلاینت ریموت قابل استفاده اند. برخی از  آن ها نسبت به دیگران به شکل قابل توجهی وخیم ترند، چون برای تأثیرگذاری بر روی چند سرور، از یک سیستم نهایی واحد قابل استفاده اند. اما می توان از ضعیف ترین آن ها هم در حملات دیداس (DDoS) استفاده کرد.

هفت مورد از نقایص توسط جاناتان لونی (Jonathan Looney) از نت فلیکس (Netflix) و یک مورد توسط پیوتر سیکورا (Piotr Sikora) از گوگل کشف گردید. لیست کامل این نقایص به همراه شرح تک تک آن ها در انتهای این مقاله قابل مشاهده است.

نت فلیکس امروز در توصیه ای اظهار داشت تمام حاملین حمله ، گونه های مختلفی از یک نوع بودند که در آن ها کلاینت از سرور آسیب پذیر پاسخی را ارسال می کند، سپس از خواندن آن خودداری می کند.

بسته به نحوه مدیریت کوئری ها توسط سرور، کلاینت می تواند آن را مجبور کند برای پردازش درخواست های ورودی از حافظه و پردازنده بیش از حد استفاده کند.

حملات DoS می توانند سرورها را غیرپاسخگو کنند و بازدیدکنندگان را از دسترسی به صفحات وب منع نمایند. در مواردی که شدت کمتری دارند، صفحات در زمانی بسیار طولانی تر بارگذاری می شوند.

گزارش آسیب پذیری مرکز هماهنگی CERT (CERT Coordination Center) تأمین کنندگان را نشان می دهد که ممکن است تحت تأثیر این آسیب پذیری های DoS قرار گیرند.

در این لیست نام های بزرگی همچون آمازون، آپاچی، اپل، فیس بوک، مایکروسافت، انجین اکس، اوبونتو و Node.js به چشم می خورد.

 

تأمین کنندگان دست به انتشار پچ زدند

برخی از این تأمین کنندگان مشکلات را رفع کرده اند. کلودفلر (Cloudflare) اعلام کرد مشکل هفت آسیب پذیری تأثیرگذار بر سرورهای Nginx خود را که مسئول ارتباطات HTTP/2 بودند برطرف کرده است.

عاملین تهدید، سوء استفاده از آسیب پذیری ها را آغاز کرده اند، چون کمپانی BleepingComputer اعلام کرد برخی از این اقدامات را سرکوب کرده است.

کلودفلر اعلام کرد: «در اینجا شاهد 6 آسیب پذیری مختلف احتمالی هستیم و ما تمام آن ها را تحت نظر داریم. ما شمار کمی از این حملات را شناسایی و جلوی آن ها را گرفتیم اما هنوز هم تعداد آن ها زیاد است».

اصلاحات صورت گرفته قبل از افشاگری هماهنگ شرکت هایی مثل کلودفلر و تأمین کنندگان دیگر با اطلاعیه نت فلیکس در مورد ریسک های امنیتی DoS همراه بوده است.

علاوه بر این مایکروسافت نیز برای پنج نقص DoS که بر پروتکل HTTP/2 (HTTP.sys) تأثیرگذار است ، پچ هایی را منتشر کرد.

گزارش تغییرات امروز Nginx برای آپدیتی به نسخه اصلی 1.17.3 حاکی از پچ سه آسیب پذیری DoS دارد. نسخه پایدار نیز برای رفع برخی مشکلات، طبق گزارش تغییرات آن به نسخه 1.16.1 بروزرسانی گردید.

اپل نیز فریم ورک اپلیکیشن SwiftNIO را برای پنج نقصی که ممکن بود بر Sierra نسخه های 10.12 به بعد مک تأثیرگذار باشد پچ کرد.

  1. CVE-2019-9511 (Data Dribble): مهاجمین بر روی چند استریم، حجم عظیمی از داده را از منبعی مشخص درخواست می کنند. آن ها سایز پنجره و اولویت استریم را دستکاری می کنند تا سرور مجبور شود داده ها را در چانک های یک بایتی به صف کند. بسته به میزان کارایی صف بندی داده ها این کار مقدار بیش از حدی از پردازنده، حافظه یا هر دو را صرف خود کند و به احتمال زیاد به عدم سرویس دهی ختم شود.
  2. CVE-2019-9512(Ping Flood): مهاجمین پینگ های پی در پی را به یک نظیر HTTP/2 ارسال می کنند و نظیر را مجبور می کنند یک صف داخلی از پاسخ ها را ایجاد کند. بسته به میزان کارایی صف بندی داده ها این کار مقدار بیش از حدی از پردازنده، حافظه یا هر دو را صرف خود کند و به احتمال زیاد به عدم سرویس دهی ختم شود.
  3. CVE-2019-9513 (Resource Loop): مهاجمین چند استریم درخواست ایجاد می کنند و اولویت استریم ها را دائماً تغییر می دهند، به گونه ای که در درخت اولویت تغییر اساسی ایجاد می شود. این کار باعث می شود پردازنده بیش از حد مورد استفاده قرار گیرد و به احتمال زیاد به عدم سرویس دهی ختم شود.
  4. CVE-2019-9514 (Reset Flood): مهاجمین تعدادی استریم را باز می کنند و بر روی هر استریم یک درخواست نامعتبر ارسال می کنند که باید استریمی از فریم های RST_STREAM را از نظیر درخواست کند. بسته به صف بندی فریم های RST_STREAM توسط نظیر، این کار می تواند حجم بسیار زیادی از حافظه، پردازنده یا هر دو را صرف خود کند و در نتیجه به احتمال زیاد به عدم سرویس دهی ختم شود.
  5. CVE-2019-9515 (Settings Flood): مهاجمین استریمی از فریم های SETTINGS را به نظیر ارسال می کنند. چون RFC نظیر ملزم می کند به ازای هر فریم SETTINGS با یک تصدیق پاسخ دهد، یک فریم SETTINGS خالی رفتاری شبیه به پینگ خواهد داشت. بسته به کارایی صف بندی داده ها، این کار می تواند مقدار بیش از حدی از پردازنده، حافظه یا هر دو را صرف خود کند و به احتمال زیاد به عدم سرویس دهی ختم شود.
  6. CVE-2019-9516 (0- Length Headers Leak: مهاجم استریمی از هدرهای دارای نام هدر و مقدار هدر دارای طول صفر را ارسال می کند که به صورت اختیاری با الگوریتم هافمن به هدرهای یک بایتی یا بزرگ انکود می شوند. برخی از ابزارها برای این هدرها حافظه ای را تخصیص می دهند و تا زمانی که نشست به پایان نرسیده این تخصیص را حفظ می کنند. با این کار حافظه بیش از حد مورد استفاده قرار می گیرد و به احتمال زیاد به عدم سرویس دهی ختم خواهد شد.
  7. CVE-2019-9517 (Internal Data Buffering): مهاجمین پنجره HTTP/2 را باز می کنند و نظیر می تواند بدون هیچ گونه محدودیتی عمل ارسال را انجام دهد، اما پنجره TCP بسته می ماند و نظیر نمی تواند بایت های زیادی را بر روی سیم بنویسد. سپس مهاجم استریمی از درخواست ها برای آبجکت پاسخ بزرگ ارسال می کند. بسته به نحوه صف بندی پاسخ ها توسط سرور، این کار می تواند حجم زیادی از حافظه، پردازنده یا هر دو را صرف خود کند و به احتمال زیاد به عدم سرویس دهی ختم شود.
  8. CVE-2019-9518 (Empty Frames Flood): مهاجمین استریمی از فریم ها را با بار مفید خالی و بدون فلگ پایان استریم (end-of-stream) ارسال می کنند. این فریم ها می توانند DATA، HEADERS، CONTINUATION و/یا PUSH_PROMISE باشند. نظیر برای پردازش هر فریم زمانی را صرف می کند که با پهنای باند حمله نامتناسب است. با این کار حجم زیادی از پردازنده اشغال می شود که به احتمال زیاد به عدم سرویس دهی ختم خواهد شد.

شاید این مطالب نیز برای شما جالب باشد

اپلیکیشن های Cloud-Native به Cloud نیازی ندارند!

اپلیکیشن های Cloud-Native به Cloud نیازی ندارند!

قبل از هر چیزی لازم به ذکر است که کلود نیتیو (Cloud-Native)، بر خلاف نامش نیازی به کلود ندارد. این نام از یک رویکرد معماری ساخت اپلیکیشن گرفته شده...

افزایش ریسک با افزایش اپلیکیشن ها و حساب های کاربری

افزایش ریسک با افزایش اپلیکیشن ها و حساب های کاربری

امروزه برای تمام نیازها اپلیکیشن های مختلفی در دسترس کاربران قرار دارد. بر اساس آمار بدست آمده از اپلیکیشن های موبایل، هر فرد به طور...

مروری بر کتاب «جنگ های سایبری: هک هایی که دنیای کسب و کار را شوکه کرد» نوشته چارلز آرتور

مروری بر کتاب «جنگ های سایبری: هک هایی که دنیای کسب و کار را شوکه کرد» نوشته چارلز آرتور

مروری بر کتاب «جنگ های سایبری: هک هایی که دنیای کسب و کار را شوکه کرد» نویسنده :  چارلز آرتور این کتاب به شکلی غیرفنی و کاملاً قابل فهم به...

8 نکته برای محافظت از خود در کنفرانس بلک هت و شبکه های متخاصم دیگر

8 نکته برای محافظت از خود در کنفرانس بلک هت و شبکه های متخاصم دیگر

پالو آلتو نتورک (Palo Alto Networks) برای سومین سال متوالی با عرضه کنندگان برتر محصولات امنیتی دیگر و متخصصینی که به راه اندازی مرکز عملیات های...

اهدای لقب ” پیشگام ” به سیسکو در گزارش جدید گارتنر

اهدای لقب ” پیشگام ” به سیسکو در گزارش جدید گارتنر

سیسکو در گزارش Gartner Magic Quadrant for Network Firewalls سال 2019 لقب «پیشگام» را به خود اختصاص داد. شبکه در قلب تحول دیجیتال قرار دارد و هنگامی که بحث ایمن...

ارسال دیدگاه
اپلیکیشن های Cloud-Native به Cloud نیازی ندارند!

اپلیکیشن های Cloud-Native به Cloud نیازی ندارند!

قبل از هر چیزی لازم به ذکر است که کلود نیتیو (Cloud-Native)، بر خلاف نامش نیازی به کلود ندارد. این نام از یک رویکرد معماری ساخت اپلیکیشن گرفته شده...

افزایش ریسک با افزایش اپلیکیشن ها و حساب های کاربری

افزایش ریسک با افزایش اپلیکیشن ها و حساب های کاربری

امروزه برای تمام نیازها اپلیکیشن های مختلفی در دسترس کاربران قرار دارد. بر اساس آمار بدست آمده از اپلیکیشن های موبایل، هر فرد به طور...

مروری بر کتاب «جنگ های سایبری: هک هایی که دنیای کسب و کار را شوکه کرد» نوشته چارلز آرتور

مروری بر کتاب «جنگ های سایبری: هک هایی که دنیای کسب و کار را شوکه کرد» نوشته چارلز آرتور

مروری بر کتاب «جنگ های سایبری: هک هایی که دنیای کسب و کار را شوکه کرد» نویسنده :  چارلز آرتور این کتاب به شکلی غیرفنی و کاملاً قابل فهم به...

8 نکته برای محافظت از خود در کنفرانس بلک هت و شبکه های متخاصم دیگر

8 نکته برای محافظت از خود در کنفرانس بلک هت و شبکه های متخاصم دیگر

پالو آلتو نتورک (Palo Alto Networks) برای سومین سال متوالی با عرضه کنندگان برتر محصولات امنیتی دیگر و متخصصینی که به راه اندازی مرکز عملیات های...

اهدای لقب ” پیشگام ” به سیسکو در گزارش جدید گارتنر

اهدای لقب ” پیشگام ” به سیسکو در گزارش جدید گارتنر

سیسکو در گزارش Gartner Magic Quadrant for Network Firewalls سال 2019 لقب «پیشگام» را به خود اختصاص داد. شبکه در قلب تحول دیجیتال قرار دارد و هنگامی که بحث ایمن...

ارتباطات ویدئویی و صوتی نسل بعد با تلفن های سری 8800 سیسکو

ارتباطات ویدئویی و صوتی نسل بعد با تلفن های سری 8800 سیسکو

Cisco IP Phone 8800 Series مجموعه ای از تلفن های هوشمند است که عملکردی بسیار عالی دارند. شکل 1. ارتباطات موبایلی ویدئویی، صوتی و داخلی نسل بعد برای...

اصالت کالا
پشتیبانی
گارانتی تعویض
پست پیشتاز