FoxIO-ն բացահայտել է HTTP/3-ի խոցելիություններ, որոնք կարող են խափանել վեբ սերվերները

Անվտանգության ոլորտում գործող FoxIO ընկերությունը բացահայտել է խոցելիություններ, որոնց միջոցով հաշիվ չունեցող հեռավար հարձակվողը կարող է մեկ կապով խափանել խոցելի HTTP/3 վեբ սերվերները։ Ընկերությունը նաև հրապարակել է դա ցուցադրող աշխատող կոդ։ Խոցելի ծրագրային մի շարք գրադարանների համար շտկումներ հասանելի են, սակայն բացահայտման պահին մյուսները դեռ շտկված չէին, հոկտեմբերի 22-ին հայտնել է The Hacker News-ը։

HTTP/3-ը վեբ հարցումներն ու պատասխանները փոխանցելու համար օգտագործվող հաղորդակարգ է։ Սերվերները պետք է սահմանափակեն հարցման մասին տեղեկություններ պարունակող դաշտերը՝ հարցման վերնագրերը, ապասեղմելիս օգտագործվող հիշողության ծավալը։ Խոցելի իրականացումները կա՛մ սահմանափակում են միայն ցանցով ստացվող սեղմված տեղեկությունների ծավալը, կա՛մ ապասեղմված տվյալների չափի սահմանափակումը կիրառում են չափազանց ուշ։

Ցուցադրված հետևանքը ծառայության մերժումն է․ սերվերը դադարում է սպասարկել օրինական հարցումները։ Հոկտեմբերի 22-ի հրապարակման դրությամբ տվյալների գողության կամ կոդի գործարկման ապացույցներ չկային, և այս խոցելիություններն օգտագործող հարձակումների մասին հրապարակային հաղորդումներ չէին եղել։

Ինչպես են փոքր հարցումները մեծ ծավալի հիշողություն սպառում

Խոցելիությունները կապված են HTTP/3-ի վերնագրերի սեղմման մեխանիզմի՝ QPACK-ի հետ։ QPACK-ը խնայում է ծավալը՝ կրկնվող դաշտերն ամեն անգամ ամբողջությամբ ուղարկելու փոխարեն դրանք ներկայացնելով կարճ հղումներով։ Եթե ապասեղմման ընթացքում արդյունավետ սահմանափակում չկա, ստացվող փոքր ծավալի տվյալները կարող են վերածվել հարյուր հազարավոր վերնագրային գրառումների, որոնք պահվում են սերվերի հիշողության մեջ։

Լռելյայն կարգավորումներով փորձարկումների ժամանակ FoxIO-ն Bun-ում չափել է ստացվող տվյալների ծավալը մոտ 4 000 անգամ գերազանցող հիշողության օգտագործում։ Bun-ի փաստաթղթերում դրա HTTP/3 սերվերը նշված է որպես փորձարարական․ այս բացահայտումը գործող համակարգերի դեմ հարձակումների մասին հաղորդում չէ։

Bun-ն օգտագործում է lsquic գրադարանը, սակայն վերնագրերին հատկացվող հիշողությունը սահմանափակող մեխանիզմները փոխարինում է կոդով, որը ստուգում է յուրաքանչյուր վերնագիրը՝ առանց դրանց ընդհանուր չափը ստուգելու։ FoxIO-ն պարզել է, որ բավականաչափ մեծ ապասեղմված վերնագրերը կարող են չափի հաշվիչի գերլցում առաջացնել, ինչի հետևանքով սերվերն ընկնում է անվերջ ցիկլի մեջ և չի սպասարկում նոր հարցումները։ Քանի որ Bun-ը վերնագրերն այլ կերպ է մշակում, lsquic-ի շտկումը չի լուծում Bun-ի խնդիրը։