HTTP/2 Bomb: новая уязвимость позволяет удалённый DoS на NGINX, Apache, IIS, Envoy и Cloudflare

HTTP/2 Bomb: nova ranjivost omogućava udaljeni DoS na NGINX, Apache, IIS, Envoy i Cloudflare

Kolege, želim da skrenem pažnju: u oblasti sajber bezbednosti otkrivena je ranjivost HTTP/2 (HTTP/2 Bomb) koja omogućava udaljeni DoS glavnih veb‑servera.

- Istraživači (Calif) su pokazali da napad kombinuje "bombu" za HPACK i zadržavanje nultog prozora toka, što dovodi do višestrukih alokacija na serveru.
- Podložni su NGINX, Apache HTTPD, Microsoft IIS, Envoy i Cloudflare Pingora; jedan klijent može brzo potrošiti desetine gigabajta memorije.
- Mitigacije: NGINX — ažurirati na 1.29.8+ ili isključiti HTTP/2; Apache — mod_http2 v2.0.41 ili isključiti HTTP/2; za IIS, Envoy i Cloudflare nema zakrpa u trenutku objave.

Zašto je ovo važno: napad zahteva mali saobraćaj i može za sekunde onesposobiti servis.

Šta Vi planirate preduzeti?

#sajberbezbednost #HTTP2 #DoS #NGINX