Уязвимости в реализации HTTP/2. Вероятность DoS атаки

Тема в разделе "Администрирование серверов", создана пользователем hroost, 14 авг 2019.

Модераторы: mefish
  1. hroost

    hroost Создатель

    Регистр.:
    9 фев 2017
    Сообщения:
    21
    Симпатии:
    1
    В реализации HTTP/2 в nginx (и других веб-серверах) были обнаружены уязвимости, эксплуатация которых может приводить к чрезмерному потреблению памяти и ресурсов процессора (DoS атака).

    Список веб-серверов с найденными уязвимостями https://kb.cert.org/vuls/id/605641/

    Проблемам подвержен nginx, собранный с модулем ngx_http_v2_module, если в конфигурационном файле используется
    параметр http2 директивы listen.

    CVE-2019-9511, CVE-2019-9513, CVE-2019-9516
    Проблемам подвержен nginx 1.9.5 - 1.17.2.
    Проблемы исправлены в nginx 1.17.3, 1.16.1.

    Подробнее
    http://nginx.org/en/security_advisories.html
    https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-002.md

    Если вы используете сторонние сервисы защиты/CDN/ускорения сайтов, рекомендуем убедиться, что обновления у них уже установлены.
    Наши клиенты на тарифах PROXY защиты сайтов уже в безопасности.