Il livello di compressione di HTTP/3 diventa un interruttore per mandare in crash i server
Secondo quanto riferito, una vulnerabilità QPACK divulgata consente a un aggressore non autenticato di inviare una quantità minima di dati negli header e provocare una crescita estrema dell'uso della memoria, creando un percorso di denial of service con input ridotto e impatto elevato.
Introduzione
HTTP/3 è stato progettato per trasferire il traffico web più velocemente, ma le funzionalità che aumentano la velocità possono nascondere punti deboli. In questo caso, QPACK - lo schema di compressione usato per gli header HTTP/3 - sarebbe al centro di una vulnerabilità che può trasformare una piccola richiesta inviata da remoto in un carico di memoria molto più grande sul server.
È importante perché il modello di attacco è semplice: nessun accesso richiesto, una connessione e uno schema di header compressi che potrebbero espandersi fino a generare un carico di lavoro in memoria sufficiente a destabilizzare le implementazioni interessate. Al momento della stesura, le informazioni pubbliche non hanno ancora chiarito del tutto la causa principale esatta, la portata completa delle distribuzioni interessate o se eventuali crash di server nel mondo reale siano stati confermati in modo indipendente.
Informazioni principali
- Secondo quanto riferito, il problema QPACK divulgato interessa i server HTTP/3 che elaborano header compressi controllati dall'aggressore.
- Secondo quanto riferito, un aggressore remoto non autenticato può attivare il problema senza effettuare l'accesso.
- Secondo quanto riferito, in alcune implementazioni interessate è sufficiente una sola connessione per creare la condizione di stress della memoria.
- Secondo quanto riportato, l'amplificazione della memoria arriva fino a 4.000 volte, anche se le condizioni dei test non sono state verificate in modo indipendente nel materiale fornito.
- Secondo quanto riferito, è stato reso pubblico del codice proof-of-concept, aumentando la probabilità che i difensori debbano verificare rapidamente la propria esposizione.
Conclusione
La lezione è chiara: i protocolli web moderni sono sicuri solo quanto il loro parser e allocatore meno tollerante. Quando un piccolo pacchetto può provocare una crescita sproporzionata dell'uso della memoria, i difensori dovrebbero trattare il codice di ottimizzazione delle prestazioni come codice di sicurezza e monitorarlo di conseguenza.
WIKICROOK
- QPACK: compressione degli header HTTP/3 progettata per ridurre l'overhead dei metadati ripetuti.
- HTTP/3: la terza versione principale di HTTP, basata su QUIC per un trasporto più rapido e resiliente.
- Amplificazione della memoria: condizione in cui un input ridotto provoca un uso della memoria sproporzionatamente elevato.
- Denial of service: attacco volto a rendere indisponibile un servizio esaurendone le risorse.
- Proof of concept: codice dimostrativo che mostra come una vulnerabilità possa essere attivata concretamente.
