Уязвимости HTTP/2 позволяют задосить миллионы сайтов и сервисов в Сети

Уязвимости HTTP/2 позволяют задосить миллионы сайтов и сервисов в Сети

Уязвимости HTTP/2 позволяют задосить миллионы сайтов и сервисов в Сети

Различные имплементации HTTP/2, второй крупной версии сетевого протокола HTTP, содержат множественные уязвимости, угрожающие наиболее популярным веб-серверам вроде Apache, Microsoft's IIS и nginx.

HTTP/2 был введен в эксплуатацию в мае 2015 года. Эта версия была разработана для повышения безопасности и улучшения пользовательского опыта за счет ускорения загрузки страниц.

На сегодняшний день в Сети работают сотни миллионов сайтов (около 40% от всех ресурсов в интернете), использующих протокол HTTP/2.

Эксперты Джонатан Луни из Netflix и Петр Сикора из Google обнаружили семь уязвимостей (всего их восемь) в HTTP/2, которые существуют из-за некорректной обработки вредоносного ввода. В результате клиент может перегрузить процесс управления очередью сервера.

Таким образом, эти проблемы безопасности могут быть использованы киберпреступниками для запуска DoS-атак на миллионы онлайн-сервисов и веб-сайтов Сети. В результате таких атак уязвимые ресурсы станут недоступны для посетителей.

Отчет Луни об уязвимостях можно найти на GitHub.

Бреши получили следующие идентификаторы:

  • CVE-2019-9511 — HTTP/2 "Data Dribble"
  • CVE-2019-9512 — HTTP/2 "Ping Flood"
  • CVE-2019-9513 — HTTP/2 "Resource Loop"
  • CVE-2019-9514 — HTTP/2 "Reset Flood"
  • CVE-2019-9515 — HTTP/2 "Settings Flood"
  • CVE-2019-9516 — HTTP/2 "0-Length Headers Leak"
  • CVE-2017-9517 — HTTP/2 "Internal Data Buffering"
  • CVE-2019-9518 — HTTP/2 "Request Data/Header Flood"
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники, обокравшие продавцов на Авито, отправлены в колонию на 5 лет

Красносельский суд Санкт-Петербурга вынес приговор по делу мошенников, опустошавших счета продавцов на Авито с помощью фишинговых ссылок. Станислав Виеру и Илья Мальков наказаны лишением свободы на 5,5 и 5 лет соответственно.

По версии следствия, Виеру в 2022 году создал ОПГ, в состав которой привлек Малькова. Свою вину в преступном сговоре оба осужденных так и не признали.

Действуя в рамках мошеннической схемы, подельники отыскивали на Авито объявления о продаже товаров (телефонов, электрогитар и проч.), связывались с продавцом и для уточнения деталей предлагали перенести общение в WhatsApp (принадлежит признанной в России экстремистской и запрещённой корпорации Meta).

В ходе переписки мнимый покупатель сообщал, что хочет заказать курьерскую доставку и просил указать имейл, на который можно выслать форму для получения перевода.

Присланная письмом ссылка вела на фишинговую страницу с логотипом и копией формы Авито. Введенные на ней банковские реквизиты попадали к мошенникам и в дальнейшем использовались для отъема денежных средств.

Выявлено 12 пострадавших, у которых украли от 4,6 тыс. до 52 тыс. рублей.

Схема обмана, по которой работали осужденные, напоминает сценарий «Мамонт», в рамках которого мошенники притворялись покупателями. Только Виеру и Мальков действовали проще — не тратили усилия на сбор информации о мишенях, помогающий сыграть роль убедительнее.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru