Minden, amit a HTTP/2-féle hibáról tudni érdemes
Összegyűjtöttük a legfontosabb információkat a HTTP/2 kapcsán feltárt sérülékenységről és a kockázatcsökkentési lehetőségekről.
Barket Nowotarski biztonsági kutató nevéhez fűződik az a felfedezés, amely a HTTP/2 protokoll egyes - széles körben is használatos - implementációival kapcsolatban hozott felszínre egy súlyos sebezhetőséget, illetve ezzel párhuzamosan egy új típusú támadási technikát. Ennek neve CONTINUATION Flood. Az ilyen típusú támadások az elkövetők oldalán viszonylag kis erőforrásigénnyel járnak, ugyanakkor a sérülékeny szerverekre jelentős hatást gyakorolhatnak. Viszonylag kis befektetéssel lehet ugyanis az érintett kiszolgálókat megbénítani, vagy azok teljesítményét radikálisan csökkenteni.
A sebezhetőség háttere
A HTTP protokoll frissített, modernizált változatát HTTP/2 néven standardizálták 2015-ben. A célja többek között az volt, hogy növelje a korábbi HTTP protokollra épülő megoldások teljesítményét a hálózati erőforrások hatékonyabb kihasználásával, a kapcsolatok optimalizálásával és nem utolsó sorban a késleltetési idő csökkentésével.
A HTTP/2 lehetőséget ad az üzenetek és adatfolyamok fragmentálására. Ennek kezeléséhez nélkülözhetetlenek az úgynevezett CONTINUATION keretek, amelyekből az üzenetek fejléce többet is tartalmazhat. A sérülékenység szempontjából pedig pontosan ez az, ami igazán lényeges.
-
A TinyMCE kapcsán XSS-hibákra derült fény.
-
A GLPI fejlesztői két veszélyes biztonsági résről számoltak be.
-
Öt biztonsági rést foltoztak be a GitLab fejlesztői.
-
A FreeRDP-hez öt patch vált elérhetővé.
-
A Dell biztonsági frissítést adott ki a Custom VMware ESXi-hez.
-
A Google kritikus veszélyességű sebezhetőségeket orvosolt a Chrome webböngésző kapcsán.
-
Az IBM QRadar SIEM-hez egy biztonsági javítás érkezett.
-
A Fortinet FortiNAC-F kapcsán egy biztonsági hibára derült fény.
-
A Firefox legújabb kiadása számos sebezhetőséget orvosolt.
-
A CrushFTP fejlesztői egy biztonsági rést foltoztak be.
Minden szülő legrosszabb rémálma felvenni egy ismeretlen számról érkező hívást, és azt hallani, hogy a gyermeke segítségért kiált.
Az online társkeresés elterjedésével alapjaiban változott meg az emberek közötti kapcsolatteremtés.
