New HTTP/2 Flaws Expose Unpatched Web Servers to DoS Attacks

พบช่องโหว่ใน HTTP/2 มีความเสี่ยงที่จะนำไปสู่การโจมตี denial-of-service (DoS) นักวิจัยจาก Netflix และ Google พบช่องโหว่ใน HTTP/2 ซึ่งนำไปสู่การโจมตี denial-of-service (DoS) ได้ โดยผู้โจมตีสามารถใช้ช่องโหว่เพื่อกินทรัพยากรของเครื่องเซิร์ฟเวอร์จนทำให้หยุดทำงานได้ ซึ่งช่องโหว่นี้ส่งผลกระทบเป็นวงกว้าง ทั้ง Amazon, Apache, Apple, Facebook, Microsoft, nginx, Node.js ไปจนถึง Ubuntu โดยสามารถดูรายละเอียดผู้ให้บริการที่ได้รับผลกระทบได้จาก https://kb.cert.org/vuls/id/605641/ ซึ่งในขณะนี้มีผู้ให้บริการออกแพตช์เพื่อแก้ไขบ้างแล้ว เช่น Nginx ออกรุ่น 1.17.3 และ 1.16.1 เพื่อแก้ไขช่องโหว่เหล่านี้

รายละเอียดช่องโหว่ที่สามารถนำมาสู่การโจมตี denial-of-service (DoS) มีดังนี้

1. CVE-2019-9511 หรือที่เรียกว่า Data Dribble แฮกเกอร์สามารถร้องขอข้อมูลขนาดใหญ่แต่บังคับให้เซิร์ฟเวอร์ส่งข้อมูลในขนาดแค่ 1-byte ทำให้ CPU ถูกใช้งานมากเกินไปทำให้ระบบล่มได้

2. CVE-2019-9512 หรือที่เรียกว่า Ping Flood แฮกเกอร์สามารถทำการ Ping อย่างต่อเนื่องจนระบบล่ม

3. CVE-2019-9513 หรือที่เรียกว่า Resource Loop แฮกเกอร์สามารถร้องขอ streams จำนวนมากและปรับเปลี่ยนระดับความสำคัญอย่างต่อเนื่องในการร้องขอไปมาส่งผลทำให้ CPU ถูกใช้งานมากเกินไปทำให้ระบบล่มได้

4. CVE-2019-9514 หรือที่เรียกว่า Reset Flood แฮกเกอร์ขอstreams จำนวนมากและส่งคำขอไม่ถูกต้องทำให้เกิด RST_STREAM จำนวนมาก ส่งผลทำให้ CPU ถูกใช้งานมากเกินไปทำให้ระบบล่มได้

5. CVE-2019-9515 หรือที่เรียกว่า Settings Flood ส่งคำสั่ง Settings ไปจำนวนมากจนทำให้ระบบล่ม

6. CVE-2019-9516 หรือที่เรียกว่า 0-Length Headers Leak แฮกเกอร์สามารถส่งการร้องขอ streams ในส่วนของ headers ที่มีชื่อว่า 0 และ และขนาด 0 คือมีการเข้ารหัสให้เป็นค่า 1-byte ทำให้มีการใช้ CPU ในส่วนของ headers ถูกใช้งานมากเกินไปจนกว่า session dies ทำให้ระบบล่มได้

7. CVE-2019-9517 หรือที่เรียกว่า Internal Data แฮกเกอร์สามารถใช้งาน HTTP / 2 ในหลายๆ browser เพื่อร้องขอ streams ได้โดยไม่มีข้อจำกัด แต่จำกัดขนาดที่ส่งผ่าน TCP ให้ส่งข้อมูลได้น้อย จากนั้นแฮกเกอร์จะขอข้อมูลขนาดใหญ่ ทำให้มีการใช้ CPU ถูกใช้งานมากเกินไป ทำให้ระบบล่มได้

8. CVE-2019-9518 หรือที่เรียกว่า Empty Frame Flooding แฮกเกอร์สามารถส่ง stream ที่ไม่มีข้อมูลและไม่ปิด stream เพื่อกินทรัพยากร

ที่มา: bleepingcomputer.com