خلاصه: پژوهشگران امنیتی شرکت‌های نتفلیکس و گوگل، هشت آسیب‌پذیری مهم را در پیاده‌سازی HTTP/2 کشف کرده‌اند که مهاجمین می‌توانند از آن‌ها برای اجرای حملات منع سرویس (DOS) استفاده کنند. این آسیب‌پذیری‌ها در تنظیمات سرورهایی اعم از آمازون، گوگل، مایکروسافت و آپاچی یافته شده‌اند.
پروتکل HTTP یک پروتکل اساسی است که در شبکه اینترنت برای تبادل داده تحت‌وب استفاده می‌شود. پروتکل HTTP/2 جدیدترین نسخه پروتکلHTTP است که در سال ۲۰۱۵ معرفی شده است. این نسخه جایگزینی سریع‌تر، ساده‌تر و قوی‌تر برای HTTP/1 است. اما پژوهشگران امنیتی شرکت‌های نتفلیکس و گوگل، هشت آسیب‌پذیری مهم را در پیاده‌سازی آن کشف کرده‌اند که مهاجمین می‌توانند از آن‌ها برای اجرای حملات منع سرویس (DOS) استفاده کنند. این آسیب‌پذیری‌ها در تنظیمات سرورهایی اعم از آمازون، گوگل، مایکروسافت و آپاچی یافته شده‌اند.
این هشت آسیب‌پذیری کشف‌شده ماهیتاً مشابه هم هستند و امکان اجرای DoS و ایجاد اختلال در سرویس‌های اینترنتی و وب‌سایت‌ها را برای مهاجم فراهم می‌کنند. به طوری که شرکت امنیتی کلودفلر (Cloudflare) معتقد است که اجرای این حملات برای كسانی كه درک خوبی از پروتکل HTTP/2 و حملات DoS دارند، بسیار آسان است.
مطابق گفته نتفلیکس که در کنار گوگل و CERT/CC این آسیب‌پذیری‌ها را کشف کرده است، این نقص‌ها مربوط به خرابی منابع در سمت سرور هستند و از آن‌ها می‌توان برای اجرای حملات DoS علیه سرورهایی که از HTTP/2 پشتیبانی می‌کنند، استفاده کرد. این هشت آسیب‌پذیری اجازه می‌دهند تعداد کمی از نشست‌های مخرب، پهنای باند را اشغال کنند و از ارائه سرویس به سایرین جلوگیری شود. حملات ناشی از آسیب‌پذیری‌ها منابع را تلف می‌کند به طوری که سایر اتصالات یا فرآیندهای موجود در همان قسمت نیز ممکن است تحت‌تأثیر قرار گرفته یا پاسخی دریافت نکنند.
تیم تحقیقاتی تِنبل (Tenable)، حمله به عملکرد سرورآسیب‌پذیر HTTP/2 را چنین توصیف می‌کند: «مهاجم می‌تواند با ارسال درخواست‌های خاصی به سرور از این آسیب‌پذیری‌های HTTP/2سوءاستفاده کند. در حالی که این درخواست‌ها متفاوت باشند، سرور آسیب‌پذیر سعی در پردازش آن‌ها و ارسال پاسخ به آن‌ها می‌کند. در این حال مهاجم پاسخ‌‌های دریافتی را نادیده می‌گیرد و نهایتاً این روند منجر به اشغال و پردازش بیش از حد سرورها می‌شود. در این جا حمله DoS عملی می‌شود».
این آسیب‌پذیری‌ها با شناسه CVE-2019-9511 تا CVE-2019-9518 شناخته می شوند و محصولات آسیب‌پذیر نیز توسط شرکت کلودفلر و با استفاده از نرم افزار NGINX شناسایی شده‌اند.
شرکت اپل نیز در مورد این آسیب‌پذیری‌ها به‌روزرسانی‌هایی را منتشر کرده است و به مشتریان خود خاطر نشان کرده که حمله به سرور ممکن است مقادیر بی حدو‌حصری از حافظه را در هنگام دریافت الگوهای ترافیکی خاص مصرف کند و در نهایت دچار منع سرویس‌دهی از سوی منابع شود.
باید توجه داشت که از این آسیب‌پذیری‌ها فقط برای حمله DoS می‌توان استفاده کرد و محرمانگی یا یکپارچگی داده‌های موجود در سرو‌ر‌های آسیب‌پذیر را به خطر نمی‌اندازد.
