UCloud-202310-003:HTTP/2 协议拒绝服务漏洞安全警告
- 发布时间
- 更新时间
- 2023-10-13
- 漏洞等级
- High
- CVE编号
- CVE-2023-44487
漏洞详情
互联网上公开了近几个月利用 HTTP/2 协议拒绝服务漏洞(CVE-2023-44487)进行攻击的详细信息。恶意攻击者可通过打开多个请求流并立即通过发送RST_STREAM帧，取消请求，通过这种办法可以绕过并发流的限制，导致服务器资源的快速消耗。鉴于此漏洞影响产品较多，并已存在在野利用，建议客户尽快做好自查及防护。
影响范围
软件
受影响版本
Netty
Netty < 4.1.100.Final
Go
Go < 1.21.3
Go < 1.20.10
Apache Tomcat
11.0.0-M1 <= Apache Tomcat <= 11.0.0-M11
10.1.0-M1 <= Apache Tomcat <= 10.1.13
9.0.0-M1 <= Apache Tomcat <= 9.0.80
8.5.0 <= Apache Tomcat <= 8.5.93
grpc-go
grpc-go < 1.58.3
grpc-go < 1.57.1
grpc-go < 1.56.3
jetty
jetty < 12.0.2
jetty < 10.0.17
jetty < 11.0.17
jetty < 9.4.53.v20231009
nghttp2
nghttp2 < v1.57.0
Apache Traffic Server
8.0.0 <= Apache Traffic Server <= 8.1.8
9.0.0 <= Apache Traffic Server <= 9.2.2
ps：*默认配置下Nginx允许客户端最多保持1000个HTTP连接，依赖此限制Nginx默认可防护此类攻击。同时需注意的是，若配置keepalive_requests值远高于默认值，则同样可能受到此漏洞影响。
修复方案
注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外
软件修复版本
下载信息
Netty >= 4.1.100.Final
https://github.com/netty/netty/releases/tag/netty-4.1.100.Final
Go >= 1.21.3、1.20.10
https://github.com/golang/go/tags
Apache Tomcat >= 11.0.0-M12、10.1.14、9.0.81、8.5.94
https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.0-M12
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.14
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.81
https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.94
grpc-go >= 1.58.3、1.57.1、1.56.3
https://github.com/grpc/grpc-go/releases
jetty >= 12.0.2、10.0.17、11.0.17、9.4.53.v20231009
https://github.com/eclipse/jetty.project/releases
nghttp2 >= v1.57.0
https://github.com/nghttp2/nghttp2/releases
Apache Traffic Server >= 8.1.9、9.2.3
https://github.com/apache/trafficserver/tags
NGINX
https://github.com/nginx/nginx
缓解措施
启用UCloud安全产品web应用防火墙UWAF、DDoS攻击防护和UClean；
避免将应用完全暴露至公网；
在Web服务上禁用HTTP2协议（这个会影响系统性能）；
参考链接
https://seclists.org/oss-sec/2023/q4/75
https://www.openwall.com/lists/oss-security/2023/10/10/6
https://www.nginx.com/blog/http-2-rapid-reset-attack-impacting-f5-nginx-products/