Различные имплементации HTTP/2, второй крупной версии сетевого протокола HTTP, содержат множественные уязвимости, угрожающие наиболее популярным веб-серверам вроде Apache, Microsoft's IIS и nginx.
HTTP/2 был введен в эксплуатацию в мае 2015 года. Эта версия была разработана для повышения безопасности и улучшения пользовательского опыта за счет ускорения загрузки страниц.
На сегодняшний день в Сети работают сотни миллионов сайтов (около 40% от всех ресурсов в интернете), использующих протокол HTTP/2.
Эксперты Джонатан Луни из Netflix и Петр Сикора из Google обнаружили семь уязвимостей (всего их восемь) в HTTP/2, которые существуют из-за некорректной обработки вредоносного ввода. В результате клиент может перегрузить процесс управления очередью сервера.
Таким образом, эти проблемы безопасности могут быть использованы киберпреступниками для запуска DoS-атак на миллионы онлайн-сервисов и веб-сайтов Сети. В результате таких атак уязвимые ресурсы станут недоступны для посетителей.
Отчет Луни об уязвимостях можно найти на GitHub.
Бреши получили следующие идентификаторы:
- CVE-2019-9511 — HTTP/2 "Data Dribble"
- CVE-2019-9512 — HTTP/2 "Ping Flood"
- CVE-2019-9513 — HTTP/2 "Resource Loop"
- CVE-2019-9514 — HTTP/2 "Reset Flood"
- CVE-2019-9515 — HTTP/2 "Settings Flood"
- CVE-2019-9516 — HTTP/2 "0-Length Headers Leak"
- CVE-2017-9517 — HTTP/2 "Internal Data Buffering"
- CVE-2019-9518 — HTTP/2 "Request Data/Header Flood"
