Уязвимость HTTP/2 CONTINUATION Flood угрожает веб-серверам DoS-атаками

Уязвимость HTTP/2 CONTINUATION Flood угрожает веб-серверам DoS-атаками

Уязвимость HTTP/2 CONTINUATION Flood угрожает веб-серверам DoS-атаками

Как показало новое исследование специалиста по кибербезопасности Бартека Новотарски, фрейм CONTINUATION в протоколе HTTP/2 можно использовать для проведения атак вида DoS (отказ в обслуживании). Вектор получил имя HTTP/2 CONTINUATION Flood.

Новотарски сообщил о своей находке представителям Координационного центра CERT 25 января 2024 года. Сам центр на днях опубликовал по этому поводу следующее сообщение:

«Многие имплементации HTTP/2 некорректно ограничивают или обрабатывают число фреймов CONTINUATION, отправленных в одном потоке. Условный атакующий может послать пакеты целевому серверу вместе с потоком фреймов CONTINUATION, которые не будут фигурировать в списке заголовков в памяти».

«Тем не менее эти фреймы всё равно будут обрабатываться и декодироваться сервером, приводят к сбою в работе из-за нехватки памяти».

HTTP/2, как и предыдущая версия — HTTP/1, использует поля заголовков в запросах и ответах. Эти поля могут содержать списки, которые обрабатываются и разбиваются на блоки заголовков, а последние затем делятся на фрагменты и передаются внутри HEADER. Это и называется фреймами CONTINUATION.

Последний фрейм должен содержать флаг END_HEADERS, что даёт понять удалённой точке: это конец блока заголовка. Как отметил Новотарски, CONTINUATION Flood представляет собой класс уязвимостей в нескольких реализациях протокола HTTP/2.

И этот вектор атаки представляет большую угрозу, чем Rapid Reset, о которой рассказывали в октябре 2023 года.

«Одно устройство (в некоторых случаях это может быть одно TCP-соединение или несколько фреймов) может привести к недоступности сервера — начиная от сбоя, заканчивая заметным снижением производительности», — объясняет Новотарски.

Проблема затрагивает:

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Половина киберинцидентов в Roblox — попытки совращения детей

Киберполиция России призывает родителей принять меры для ограничения и контроля доступа детей к контенту в Roblox — ввиду отсутствия проверок возраста посетителей и модерации общения в приватных зонах на игровой площадке.

Популярная цифровая платформа позиционируется как пространство для детского творчества — создания и запуска игр, а также для общения с единомышленниками. Однако статистика показывает, что рекордный по посещаемости игровой сайт может таить скрытые угрозы.

По данным российских киберкопов, половина Roblox-инцидентов, зафиксированных за последние три месяца, составили попытки совращения детей от 7 до 14 лет:

  • общение сексуального характера с несовершеннолетними (25%);
  • вымогательство интимных фото в обмен на игровую валюту (17%);
  • имитация сцен насилия, показ ролевых сценариев 18+ в закрытых комнатах, доступ к которым можно приобрести за несколько робуксов (8%);
  • мошенничество с игровой валютой (33%);
  • публичные оскорбления и угрозы в чатах и мультиплеерных режимах (17%).

Существующие в Roblox угрозы для несовершеннолетних актуальны также для других стран. Исследования показали, что при регистрации аккаунта сайт полагается лишь на данные о возрасте, предоставленные новым пользователем; достоверность этих сведений никак не проверяется.

В итоге взрослый может указать свой возраст как 10+ и получить возможность добавлять детей в друзья и приглашать их для общения в приватные комнаты либо сторонние мессенджеры и соцсети.

Ребенок, в свою очередь, может зарегистрироваться как 18+, чтобы получить доступ к голосовому чату и другим функциям, для которых введены возрастные ограничения. Более того, контент, помеченный как Mild (персонажи, еле прикрытые одеждой, имитация интимных действий) на Roblox доступен даже юзерам младше 13 лет и отображается безо всяких нотификаций.

В связи с наличием на платформе угроз для юной психики родителям рекомендуется принять профилактические меры:

  • привязать Roblox-аккаунт чада к своему через родительский контроль;
  • отключить ему все чаты на платформе либо ограничить контакты хорошо известными сверстниками;
  • проверить рейтинг доступных игр и заблокировать подозрительные;
  • удалить платежные данные из аккаунта несовершеннолетнего отпрыска.

Напомним, мошенники в России всё чаще используют детей для кражи денег с банковских счетов их родителей. За первые десять месяцев 2025 года в F6 зафиксировали более 6 тыс. случаев развода подростков с этой целью, с общей суммой хищений, превышающей 850 млн рублей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru