Node v12.8.1 (Current) 发布,修复漏洞

来源: 投稿
2019-08-18 07:32:31

Node v12.8.1 (Current) 已经发布,Node.js 和 其他 HTTP/2 的实现,已被发现易受拒绝服务攻击,该版主要修复存在漏洞:

  • CVE-2019-9511 “Data Dribble”:攻击者通过多个流请求来自指定资源的大量数据。它们操纵窗口大小和流优先级,迫使服务器以 1 字节块对数据进行排队。这依赖数据排队的效率,可能会消耗过多的 CPU、内存,导致拒绝服务。
  • CVE-2019-9512 “Ping Flood”:攻击者不断向 HTTP/2 对等点发送 ping,导致对等方构建内部响应队列。它依赖数据排队的效率,可能会消耗过多的 CPU、内存,导致拒绝服务。
  • CVE-2019-9513 “Resource Loop”:攻击者创建多个请求流,并不断地调整流的优先级,从而导致优先级树的混乱。这会消耗过多的 CPU,可能导致拒绝服务。
  • CVE-2019-9514 “Reset Flood”:攻击者打开多个流,并在每个流上发送无效请求,请求来自对等方的 RST_Flow 帧流。这依赖对等方如何对 RST_Flow 帧进行排队,可能会消耗过多的内存、CPU,导致拒绝服务。
  • CVE-2019-9515 “Settings Flood”:攻击者向对等方发送设置帧流。由于 RFC 要求对等方回复每个设置帧有一个确认,空设置帧在行为上几乎等同于ping。这取决于数据排队的效率,可能会消耗过多的 CPU、内存,导致拒绝服务。
  • CVE-2019-9516 “0-Length Headers Leak”: 攻击者发送具有 0 长度标头名称和 0 长度标头值的头流,还可以选择将 Huffman 编码为 1 字节或更高的标头。一些实现为这些头分配内存,并将分配保持在活动状态直到会话结束。这会消耗过多的内存,可能导致拒绝服务。
  • CVE-2019-9517 “Internal Data Buffering”: 攻击者打开 HTTP/2 窗口,以便对等方可以不受约束地发送;但是,他们将 TCP 窗口关闭,因此对等方实际上无法在线路上写入(许多)字节。然后,攻击者发送针对大型响应对象的请求流。根据服务器如何对响应进行排队,这可能会消耗过多的内存、CPU,从而可能导致拒绝服务。
  • CVE-2019-9518 “Empty Frames Flood”: 攻击者发送带有空有效负载且没有流结束标志的帧流。这些框架可以是 DATA、HEADERS、CONTINUATION 或 PUSH_BORY。对等方花费时间处理与攻击带宽不成比例的每一帧。这会消耗过多的 CPU,可能导致拒绝服务。

详情见发布说明:

https://nodejs.org/en/blog/release/v12.8.1 

展开阅读全文
点击引领话题📣 发布并加入讨论🔥
0 评论
4 收藏
分享
返回顶部
顶部