Вернуться   Форум об интернет-маркетинге > >
Ответ
 
Опции темы
Старый 14.08.2019, 14:43   #1
защита сервисов от атак
 
Аватар для cloud-shield
 
Регистрация: 25.01.2017
Сообщений: 170
Репутация: 11805
Социальные сети Профиль в ВКонтакте Аккаунт в Telegram

По умолчанию Уязвимости в реализации HTTP/2. Вероятность DoS атаки

В реализации HTTP/2 в nginx (и других веб-серверах) были обнаружены уязвимости, эксплуатация которых может приводить к чрезмерному потреблению памяти и ресурсов процессора (DoS атака).

Список веб-серверов с найденными уязвимостями https://kb.cert.org/vuls/id/605641/

Проблемам подвержен nginx, собранный с модулем ngx_http_v2_module, если в конфигурационном файле используется
параметр http2 директивы listen.

CVE-2019-9511, CVE-2019-9513, CVE-2019-9516
Проблемам подвержен nginx 1.9.5 - 1.17.2.
Проблемы исправлены в nginx 1.17.3, 1.16.1.

Подробнее
http://nginx.org/en/security_advisories.html
https://github.com/Netflix/security-...ty/2019-002.md

Если вы используете сторонние сервисы защиты/CDN/ускорения сайтов, рекомендуем убедиться, что обновления у них уже установлены.
Наши клиенты на тарифах PROXY защиты сайтов уже в безопасности.
__________________
Защита сайтов, vps и дедиков от DDoS атак - Cloud-Shield.ru
cloud-shield вне форума   Ответить с цитированием

Реклама
Старый 14.08.2019, 17:22   #2
_SP_
Академик
 
Регистрация: 24.03.2008
Адрес: MSK
Сообщений: 3,685
Репутация: 368192

По умолчанию Re: Уязвимости в реализации HTTP/2. Вероятность DoS атаки

Цитата:
Сообщение от cloud-shield Посмотреть сообщение
Если вы используете сторонние сервисы защиты/CDN/ускорения сайтов, рекомендуем убедиться, что обновления у них уже установлены.
Зачем ?
Если начнут DOSить сервис антиДдоса , то полагаю, они уж как-нибудь сами разберутся что куда.
Если в этом есть хоть малейшее сомнение, то не проверять, а съезжать надо срочно.


Цитата:
Сообщение от cloud-shield Посмотреть сообщение
Наши клиенты на тарифах PROXY защиты сайтов уже в безопасности.
Это вы в безопасности, а не они....

Пиарится надо тоже уметь...
_SP_ вне форума   Ответить с цитированием
Сказали спасибо 3 пользователей:
Старый 14.08.2019, 20:01   #3
SeVlad
Guru-Editor
 
Регистрация: 03.11.2008
Адрес: Donbass
Сообщений: 17,835
Репутация: 1441772

По умолчанию Re: Уязвимости в реализации HTTP/2. Вероятность DoS атаки

Цитата:
Сообщение от cloud-shield Посмотреть сообщение
Проблемам подвержен nginx
Не только nginx.
Цитата:
Проблемы в той или иной мере затрагивают большинство HTTP-серверов с поддержкой HTTP/2
...
Обновления с устранением уязвимостей уже представлены в nginx 1.16.1/1.17.3 и H2O 2.2.6, но пока недоступны для Apache httpd, HA Proxy и других продуктов
Пруф http://www.opennet.ru/opennews/art.shtml?num=51279

Цитата:
Сообщение от cloud-shield Посмотреть сообщение
Наши клиенты на тарифах PROXY защиты сайтов уже в безопасности.
Сама новость конечно полезная, но такой пошлый рекламный бред может быть сочинёт и вывален на сёрч только полными ламерами.
__________________
Делаю сайты для людей. Предпочтение коммерческим направлениям.
Топики помощи с ⓌordPress и основы безопасности сайтов.
*** Помощь\консультации в топиках форума - БЕСПЛАТНО. Через личку - с бюджетом от 150$ ***
SeVlad вне форума   Ответить с цитированием
Старый 15.08.2019, 14:40   #4
cloud-shield
защита сервисов от атак
 
Аватар для cloud-shield
 
Регистрация: 25.01.2017
Сообщений: 170
Репутация: 11805
Социальные сети Профиль в ВКонтакте Аккаунт в Telegram

ТопикСтартер Re: Уязвимости в реализации HTTP/2. Вероятность DoS атаки

Цитата:
Сообщение от _SP_ Посмотреть сообщение
Зачем ?

Это вы в безопасности, а не они....
К примеру, если сервис пропускает через себя трафик без модификации (лишь блокируя, например в ситуациях transparent SSL фильтрации без раскрытия ключей), то клиент будет уязвим.
В более популярных сетапах, когда защита проксированием идет с терминацией SSL на стороне сервиса, умышленно модифицированные пакеты для эксплуатации уязвимостей до клиента не дойдут, т.к. будут отброшены на стороне прокси сервиса.


Цитата:
Сообщение от SeVlad Посмотреть сообщение
Не только nginx
Цитата:
Сообщение от cloud-shield Посмотреть сообщение
В реализации HTTP/2 в nginx (и других веб-серверах)
..
Список веб-серверов с найденными уязвимостями https://kb.cert.org/vuls/id/605641/
Изначально приведен список, где фигурирует не только nginx. Но он популярен, много где предустановлен и обычно первый, кто терминирует http/2 трафик.
cloud-shield вне форума   Ответить с цитированием
Старый 15.08.2019, 14:55   #5
_SP_
Академик
 
Регистрация: 24.03.2008
Адрес: MSK
Сообщений: 3,685
Репутация: 368192

По умолчанию Re: Уязвимости в реализации HTTP/2. Вероятность DoS атаки

Цитата:
Сообщение от cloud-shield Посмотреть сообщение
К примеру, если сервис пропускает через себя трафик без модификации (лишь блокируя, например в ситуациях transparent SSL фильтрации без раскрытия ключей), то клиент будет уязвим.
К примеру, хорошо-бы не сервис проверять, а клиента, т.е. себя .
А то как с бревном в глазу будет...
_SP_ вне форума   Ответить с цитированием
Старый 16.08.2019, 13:23   #6
SeVlad
Guru-Editor
 
Регистрация: 03.11.2008
Адрес: Donbass
Сообщений: 17,835
Репутация: 1441772

По умолчанию Re: Уязвимости в реализации HTTP/2. Вероятность DoS атаки

Цитата:
Сообщение от cloud-shield Посмотреть сообщение
Изначально приведен список,
Изначально написано половинчато, не правдиво и всё ради рекламы для идиотов.
SeVlad вне форума   Ответить с цитированием
Ответ



Опции темы

Быстрый переход


Регистрация Справка Календарь Поддержка Все разделы прочитаны