HTTP/2 协议拒绝服务漏洞安全警告 - UCloud中立云计算服务商

UCloud-202310-003:HTTP/2 协议拒绝服务漏洞安全警告

发布时间 2023-10-13
更新时间 2023-10-13
漏洞等级 High
CVE编号 CVE-2023-44487

漏洞详情

互联网上公开了近几个月利用 HTTP/2 协议拒绝服务漏洞(CVE-2023-44487)进行攻击的详细信息。恶意攻击者可通过打开多个请求流并立即通过发送RST_STREAM帧，取消请求，通过这种办法可以绕过并发流的限制，导致服务器资源的快速消耗。鉴于此漏洞影响产品较多，并已存在在野利用，建议客户尽快做好自查及防护。

影响范围

软件	受影响版本
Netty	Netty < 4.1.100.Final
Go	Go < 1.21.3 Go < 1.20.10
Apache Tomcat	11.0.0-M1 <= Apache Tomcat <= 11.0.0-M11 10.1.0-M1 <= Apache Tomcat <= 10.1.13 9.0.0-M1 <= Apache Tomcat <= 9.0.80 8.5.0 <= Apache Tomcat <= 8.5.93
grpc-go	grpc-go < 1.58.3 grpc-go < 1.57.1 grpc-go < 1.56.3
jetty	jetty < 12.0.2 jetty < 10.0.17 jetty < 11.0.17 jetty < 9.4.53.v20231009
nghttp2	nghttp2 < v1.57.0
Apache Traffic Server	8.0.0 <= Apache Traffic Server <= 8.1.8 9.0.0 <= Apache Traffic Server <= 9.2.2

ps：*默认配置下Nginx允许客户端最多保持1000个HTTP连接，依赖此限制Nginx默认可防护此类攻击。同时需注意的是，若配置keepalive_requests值远高于默认值，则同样可能受到此漏洞影响。

修复方案

注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外

软件修复版本	下载信息
Netty >= 4.1.100.Final	https://github.com/netty/netty/releases/tag/netty-4.1.100.Final
Go >= 1.21.3、1.20.10	https://github.com/golang/go/tags
Apache Tomcat >= 11.0.0-M12、10.1.14、9.0.81、8.5.94	https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.0-M12 https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.14 https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.81 https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.94
grpc-go >= 1.58.3、1.57.1、1.56.3	https://github.com/grpc/grpc-go/releases
jetty >= 12.0.2、10.0.17、11.0.17、9.4.53.v20231009	https://github.com/eclipse/jetty.project/releases
nghttp2 >= v1.57.0	https://github.com/nghttp2/nghttp2/releases
Apache Traffic Server >= 8.1.9、9.2.3	https://github.com/apache/trafficserver/tags
NGINX	https://github.com/nginx/nginx

缓解措施

启用UCloud安全产品web应用防火墙UWAF、DDoS攻击防护和UClean；
避免将应用完全暴露至公网；
在Web服务上禁用HTTP2协议（这个会影响系统性能）；

参考链接

https://seclists.org/oss-sec/2023/q4/75
https://www.openwall.com/lists/oss-security/2023/10/10/6
https://www.nginx.com/blog/http-2-rapid-reset-attack-impacting-f5-nginx-products/

漏洞详情

影响范围

修复方案

缓解措施

参考链接

UCloud与云服务

快速入口

常见问题

用户俱乐部