Hàng triệu máy chủ web nguy cơ bị tấn công DoS bởi lỗ hổng HTTP mới

HTTP/2 là phiên bản mới nhất của giao thức truyền tải siêu văn bản HTTP (một giao thức cơ bản được sử dụng trên Internet để trao đổi dữ liệu trên Web), được thiết kế để làm cho các ứng dụng nhanh hơn, đơn giản hơn và mạnh mẽ hơn.

Các nhà nghiên cứu tại Netflix và Google đã phát hiện ra tổng cộng 8 lỗ hổng từ chối dịch vụ (DoS) ảnh hưởng đến các triển khai HTTP/2 khác nhau. Các lỗ hổng này đã được tìm thấy trong các cấu hình máy chủ của nhà cung cấp từ Amazon, Google, Microsoft đến Apache.

Các lỗi có bản chất tương tự và có thể bị tin tặc lợi dụng để tiến hành tấn công từ chối dịch vụ và làm gián đoạn các dịch vụ Internet cũng như từ chối truy cập vào các trang web.

Theo Cloudflare, việc thực hiện các cuộc tấn công khá dễ dàng đối với những người hiểu về HTTP/2 và các cuộc tấn công DoS.

Theo nghiên cứu của Tenable, phân tích kỹ thuật về các lỗi cho thấy kịch bản thực hiện một cuộc tấn công nhằm vào việc triển khai máy chủ HTTP/2 dễ bị tổn thương như sau: Một máy khách (kẻ tấn công) có thể khai thác các lỗ hổng HTTP/2 bằng cách gửi các yêu cầu giả mạo đặc biệt đến các máy chủ dễ bị tấn công. Mặc dù các yêu cầu này sẽ khác nhau, máy chủ sẽ cố gắng xử lý yêu cầu và cố gắng gửi phản hồi. Tuy nhiên, khi máy khách độc hại từ chối độc phản hồi, điều này sẽ kích hoạt mã quản lý hàng đợi máy chủ. Nếu hàng đợi không được xử lý đúng cách, máy chủ có thể sẽ tiêu tốn quá nhiều tài nguyên bộ nhớ và CPU, điều này có thể dẫn đến tình trạng từ chối dịch vụ DoS.

7 lỗ hổng được Jonathan Looney của Netflix phát hiện bao gồm CVE-2019-9511, CVE-2019-9512, CVE-2019-9513, CVE-2019-9514, CVE-2019-9515, CVE-2019-9516, CVE-2019 -2019-9517. Lỗ hổng thứ 8 được phát hiện bởi Piotr Sikora của Google là CVE-2019-9518.

Danh sách các nhà cung cấp được xác nhận bị ảnh hưởng bao gồm Apple, Akamai, Ambassado (API Gateway), Apache Traffic Server, Cloudflare, Envoy (Proxy), Google (Golang), Microsoft, Netty Project, nghttp2, Nginx, Node.js và Swift.

Microsoft, Apple, Cloudflare, NGINX và Akamai đã phát hành các bản vá cho các lỗ hổng.

Đại diện của Cloudflare cho biết: “Ngay sau khi chúng tôi phát hiện thấy những lỗ hổng này, nhóm giao thức của Cloudflare đã bắt đầu vá chúng”.