HTTP/2 प्रोटोकॉल में एक गंभीर खामी का पता चला है जो दूरस्थ सेवा अस्वीकार हमलों की अनुमति देती है। NGINX, Apache, IIS, Envoy और Cloudflare जैसे लोकप्रिय सर्वर उजागर हैं। हमलावर वेबसाइटों को ऑफ़लाइन कर सकते हैं, जिससे खरीदारी, लेन-देन या दैनिक जानकारी प्रभावित होती है। तत्काल समाधान आवश्यक सेवाओं में रुकावट से बचने के लिए सुरक्षा पैच लागू करना है।
यह खामी HTTP/2 में स्ट्रीम प्रबंधन का शोषण करती है 🔥
यह कमजोरी इस बात में निहित है कि HTTP/2 समवर्ती स्ट्रीम को कैसे संभालता है। एक हमलावर कई अनुरोध भेजता है जो सर्वर को मेमोरी और CPU का उपभोग करने के लिए मजबूर करते हैं जब तक कि वह ध्वस्त न हो जाए। यह NGINX, Apache, IIS और Envoy में डिफ़ॉल्ट कॉन्फ़िगरेशन को प्रभावित करता है। Cloudflare ने पहले ही शमन उपाय लागू कर दिए हैं, लेकिन प्रशासकों को अपने संस्करणों की जांच करनी चाहिए। पैच के बिना, एक एकल हमला बिना अधिक बैंडविड्थ की आवश्यकता के किसी महत्वपूर्ण सेवा को गिरा सकता है।
sysadmin के रूप में चैन की नींद न सोने का एक और कारण 😅
यदि आपके पास हर मंगलवार Log4j, SSL और कर्नेल को पैच करने के अलावा पर्याप्त काम नहीं था, तो अब HTTP/2 आपको एक नया दुःस्वप्न देता है। सबसे अच्छी बात यह है कि यह खामी आपके सर्वर को उस प्रयास से भी कम प्रयास में गिरा सकती है जो आप यह समझाने में लगाते हैं कि आपने अपडेट क्यों नहीं किया। तो अब आप जानते हैं: कॉफी, पैच, और प्रार्थना करें कि हमलावरों के पास रविवार को करने के लिए बेहतर काम हों।