Minden, amit a HTTP/2-féle hibáról tudni érdemes

​Összegyűjtöttük a legfontosabb információkat a HTTP/2 kapcsán feltárt sérülékenységről és a kockázatcsökkentési lehetőségekről.
 

Barket Nowotarski biztonsági kutató nevéhez fűződik az a felfedezés, amely a HTTP/2 protokoll egyes - széles körben is használatos - implementációival kapcsolatban hozott felszínre egy súlyos sebezhetőséget, illetve ezzel párhuzamosan egy új típusú támadási technikát. Ennek neve CONTINUATION Flood. Az ilyen típusú támadások az elkövetők oldalán viszonylag kis erőforrásigénnyel járnak, ugyanakkor a sérülékeny szerverekre jelentős hatást gyakorolhatnak. Viszonylag kis befektetéssel lehet ugyanis az érintett kiszolgálókat megbénítani, vagy azok teljesítményét radikálisan csökkenteni.
 
A sebezhetőség háttere
 
A HTTP protokoll frissített, modernizált változatát HTTP/2 néven standardizálták 2015-ben. A célja többek között az volt, hogy növelje a korábbi HTTP protokollra épülő megoldások teljesítményét a hálózati erőforrások hatékonyabb kihasználásával, a kapcsolatok optimalizálásával és nem utolsó sorban a késleltetési idő csökkentésével.
 
A HTTP/2 lehetőséget ad az üzenetek és adatfolyamok fragmentálására. Ennek kezeléséhez nélkülözhetetlenek az úgynevezett CONTINUATION keretek, amelyekből az üzenetek fejléce többet is tartalmazhat. A sérülékenység szempontjából pedig pontosan ez az, ami igazán lényeges.

 
  a
 
  1. 3

    Az OpenSSL kapcsán egy biztonsági hibára figyelmeztetnek a fejlesztők.

  2. 4

    Kritikus biztonsági hibára derült fény a TP-Link Archer C5400X routerben.

  3. 3

    A TP-Link Omada ER605 hálózati eszközéhez biztonsági frissítéseket adott ki.

  4. 4

    A WordPress-hez készült Slider Revolution bővítmény két biztonsági hiba miatt szorul frissítésre.

  5. 4

    A Microsoft öt biztonsági rést szüntetett meg az Edge webböngészőben.

  6. 4

    A GNU Glibc kapcsán sebezhetőségekre derült fény.

  7. 4

    A GitLab újabb biztonsági frissítésekkel rukkolt elő.

  8. 3

    A TP-Link a Tapo és a Tether megoldásai kapcsán egy biztonsági hibáról számolt be.

  9. 3

    A QNAP a QTS kapcsán öt sérülékenységről adott tájékoztatást.

  10. 4

    A Google ismét biztonsági réseket foltozott be a Chrome webböngészőn.

Partnerhírek
Sok internetező lesz kibertámadás áldozata

​Minden második magyar internetező volt már áldozata kibertámadásnak.

Amikor a gyerekünk hangján követelnek tőlünk pénzt

Minden szülő legrosszabb rémálma felvenni egy ismeretlen számról érkező hívást, és azt hallani, hogy a gyermeke segítségért kiált.

hirdetés
Közösség