HTTP/2含有多个服务阻断漏洞，亚马逊、脸书、苹果、微软全遭殃

由卡内基美隆大学软件工程协会所代管的电脑紧急应变协调中心（CERT/CC）在本周警告，有许多HTTP/2实现含有服务阻断（DoS）攻击漏洞，影响了Amazon、Apache Traffic Server专案、苹果、脸书、Go语言及微软等众多业者或专案。

HTTP/2为新一代的HTTP传输协定标准，它是该协定自1999年发布HTTP 1.1之后的首个更新，主要采用由Google所开发的开放SPDY协定。与HTTP 1.1相较，它保留了HTTP 1.1的大多数语音，但使用新的资料编码，可带来更快的速度，而与SPDY协定相较，它改变了压缩算法并禁用许多加密套件。

CERT/CC表示，由于HTTP/2需要比HTTP/1.1更多的资源来进行连结，在安全上，尽管它已经考虑了大多数可预期的行为，但如何减少实现时的异常行为依然引来许多缺陷。

CERT/CC总计揭露了8个实现HTTP/2的服务阻断漏洞，涵盖CVE-2019-9511～CVE-2019-9518，骇客只要利用许多串流向特定资源请求大量资料；或是持续向某个HTTP/2 Peer发送Ping指令；还是创造多个请求串流，并持续改变串流的优先级；或者是开启多个串流，并在每个串流中夹带无效请求；或是开启HTTP/2视窗，以让Peer可以无限传送，都能大量消耗系统资源，而单一系统的终止可能影响其它服务器的运作，而造成阻断服务攻击。

与CERT/CC及Google共同揭露这些HTTP/2漏洞的Netflix则解释，大多数的攻击位于HTTP/2传输层，它在TLS传输层的上方，但低于请求概念，HTTP早期的工具或功能都围绕在请求，但并没有太多针对HTTP/2连结所设计的工具，例如纪录、限速或整治的，这也让组织更难发现与封锁恶意的HTTP/2连结，可能需要更多的工具来处理相关状况。

整体而言，有许多的攻击向量都是同一个主题的变种：恶意客户端要求服务器作某些会产生回应的事，但客户端却拒绝读取回应。

在大多数的状况下，立即的补救措施就是关闭对HTTP/2的支援，但它可能造成效能下滑，CERT/CC则说，只要安装HTTP/2实施者的更新程式就能解决。