IT之家 4 月 8 日消息，網(wǎng)絡(luò)安全研究員 Bartek Nowotarski 于 1 月 25 日?qǐng)?bào)告，發(fā)現(xiàn) HTTP / 2 協(xié)議中存在一個(gè)高危漏洞，黑客利用該漏洞可以發(fā)起拒絕服務(wù)（DoS）攻擊。
Nowotarski 于 1 月 25 日向卡內(nèi)基梅隆大學(xué)計(jì)算機(jī)應(yīng)急小組（CERT）協(xié)調(diào)中心報(bào)告了這個(gè)發(fā)現(xiàn)，該漏洞被命名為“HTTP / 2 CONTINUATION Flood”。
該漏洞主要利用 HTTP / 2 的配置不當(dāng)實(shí)現(xiàn)，主要是未能限制或凈化請(qǐng)求數(shù)據(jù)流中的 CONTINUATION 幀。
CONTINUATION 幀是一種用于延續(xù)報(bào)頭塊片段序列的方法，允許在多個(gè)幀中分割報(bào)頭塊（header block）。
當(dāng)服務(wù)器收到一個(gè)特定的 END_HEADERS 標(biāo)志，表明沒有其他 CONTINUATION 或其他幀時(shí)，先前分割的報(bào)頭塊就被視為已完成。
如果 HTTP / 2 實(shí)現(xiàn)不限制單個(gè)數(shù)據(jù)流中可發(fā)送的 CONTINUATION 幀的數(shù)量，就很容易受到攻擊。如果攻擊者開始向未設(shè)置 END_HEADERS 標(biāo)志的易受攻擊服務(wù)器發(fā)送 HTTP 請(qǐng)求，該請(qǐng)求將允許攻擊者向該服務(wù)器持續(xù)發(fā)送 CONTINUATION 幀流，最終導(dǎo)致服務(wù)器內(nèi)存不足而崩潰，并導(dǎo)致成功發(fā)起拒絕服務(wù) (DoS) 攻擊。
HTTP / 2（原名 HTTP 2.0）即超文本傳輸協(xié)議第二版，使用于萬維網(wǎng)。HTTP / 2 主要基于 SPDY 協(xié)議，通過對(duì) HTTP 頭字段進(jìn)行數(shù)據(jù)壓縮、對(duì)數(shù)據(jù)傳輸采用多路復(fù)用和增加服務(wù)端推送等舉措，來減少網(wǎng)絡(luò)延遲，提高客戶端的頁面加載速度。
IT之家附上參考地址
廣告聲明：文內(nèi)含有的對(duì)外跳轉(zhuǎn)鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時(shí)間，結(jié)果僅供參考，IT之家所有文章均包含本聲明。