首页
要闻详情
图标图标

HTTP / 2 协议被曝安全漏洞,被黑客利用可发起拒绝服务攻击

亚汇网亚汇网
关注
2024-04-08 12:01:09
384
owotarki于1月25日向卡内基梅隆大学计算机应急小组(CRT)协调中心报告了这个发现,该漏洞被命名为“HTT/2COTIUATIOFlood”。该漏洞主要利用HTT/2的配置不当实现,主要是未能限制或净化请求数据流中的COTIUATIO帧。COTIUATIO帧是一种用于延续报头块片段序列的方法,允许在多个
Nowotarski于1月25日向卡内基梅隆大学计算机应急小组(CERT)协调中心报告了这个发现,该漏洞被命名为“HTTP/2CONTINUATIONFlood”。该漏洞主要利用HTTP/2的配置不当实现,主要是未能限制或净化请求数据流中的CONTINUATION帧。CONTINUATION帧是一种用于延续报头块片段序列的方法,允许在多个帧中分割报头块(headerblock)。当服务器收到一个特定的END_HEADERS标志,表明没有其他CONTINUATION或其他帧时,先前分割的报头块就被视为已完成。如果HTTP/2实现不限制单个数据流中可发送的CONTINUATION帧的数量,就很容易受到攻击。如果攻击者开始向未设置END_HEADERS标志的易受攻击服务器发送HTTP请求,该请求将允许攻击者向该服务器持续发送CONTINUATION帧流,最终导致服务器内存不足而崩溃,并导致成功发起拒绝服务(DoS)攻击。HTTP/2(原名HTTP2.0)即超文本传输协议第二版,使用于万维网。HTTP/2主要基于SPDY协议,通过对HTTP头字段进行数据压缩、对数据传输采用多路复用和增加服务端推送等举措,来减少网络延迟,提高客户端的页面加载速度。指股网附上参考地址广告声明:文内含有的对外跳转链接(包括不限于超链接、二维码、口令等形式),用于传递更多信息,节省甄选时间,结果仅供参考,指股网所有文章均包含本声明。

风险提示及免责声明

文章来源于亚汇网,转载注明原文出处,此文观点与指股网无关,理性阅读,版权属于原作者若无意侵犯媒体或个人知识产权,请联系我们,本站将在第一时间删掉 ,指股网仅提供信息存储空间服务。