Tenable ブログ
ブログ通知を受信する
HTTP/2の複数のサービス拒否（DoS）の脆弱性が公開される（CVE-2019-9511、CVE-2019-9518）
HTTP/2のサードパーティの実装で、さまざまなサービス拒否の脆弱性が見つかりました。
背景
8月13日、Netflixの研究者は、GitHubでサードパーティによるHTTP/2プロトコル実装の8つの脆弱性の発見について詳述したアドバイザリを公開しました。この脆弱性は主にNetflixのエンジニアリングマネージャーであるJonathan Looneyによって発見されました。1つの脆弱性、CVE-2019-9518はGoogleのシニアソフトウェアエンジニアPiotr Sikoraによって発見されました。
出典：Cloudflare
分析
クライアント（「攻撃者」）は、特別に細工されたリクエストを脆弱なサーバーに送信することにより、これらのHTTP/2 の脆弱性を悪用できます。これらのリクエストはさまざまですが、脆弱なサーバーはリクエストを処理し、レスポンスを送信しようとします。ただし、悪意のあるクライアントはレスポンスを無視するため、リソースが過剰に消費され、サービス拒否（DoS）が発生します。
以下は、8つの脆弱性と、Netflixアドバイザリで付けられたニックネームです。
| CVE ID | ニックネーム |
|---|---|
| CVE-2019-9511 | “Data Dribble” |
| CVE-2019-9512 | “Ping Flood” |
| CVE-2019-9513 | “Resource Loop” |
| CVE-2019-9514 | “Reset Flood” |
| CVE-2019-9515 | “Settings Flood” |
| CVE-2019-9516 | “0-Length Headers Leak” |
| CVE-2019-9517 | “Internal Data Buffering” |
| CVE-2019-9518 | “Empty Frames Flood” |
概念実証
ブログが公開された時点では、概念実証コードは公開されていませんでした。
ソリューション
脆弱性に直ちに対処するために、NetflixのアドバイザリはHTTP/2サポートを無効にすることを推奨していますが、これによりパフォーマンスが低下するか、実行不可能になる可能性があることに注意してください。ソフトウェアベンダーは、これらの脆弱性に対するパッチを公開しています。ソフトウェアベンダーは、これらの脆弱性に対するパッチを公開しています。ベンダーからの最初のレポートは次のとおりです。
| ベンダー | リンク | 出典 |
|---|---|---|
| Akamai | HTTP2 Vulnerabilities | ブログ |
| Ambassador (API Gateway) | Multiple HTTP/2 vulnerabilities in Envoy Proxy | ブログ |
| Apache Traffic Server (ATS) | [ANNOUNCE] Apache Traffic Server is vulnerable to various HTTP/2 attacks | メーリングリスト |
| Cloudflare | On the recent HTTP/2 DoS attacks | ブログ |
| Envoy (Proxy) | Version 1.11.1 History | Changelog |
| Google (Golang) | [security] Go 1.12.8 and Go 1.11.13 are released | フォーラム投稿 |
| Microsoft | CVE-2019-9511, CVE-2019-9512, CVE-2019-9513, CVE-2019-9514, CVE-2019-9518 | アドバイザリ |
| Netty Project | Netty 4.1.39.Final released | ブログ |
| nghttp2 | nghttp2 v1.39.2 Release Notes | ソフトウェアリリース |
| Nginx | NGINX Updates Mitigate the August 2019 HTTP/2 Vulnerabilities | ブログ |
| Node.js | August 2019 Security Releases | ブログ |
| Swift | About the security content of SwiftNIO HTTP/2 1.5.0 | アドバイザリ |
これらのソフトウェアアプリケーションを使用しているお客様は、早急にパッチを適用したバージョンに更新する必要があります。
影響を受けているシステムの特定
この脆弱性を識別するための Tenable のプラグインのリストは、リリースされた時点でこちらに表示されます。
詳細情報
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
現代のアタックサーフェスを総合的に管理する Cyber Exposure Platform を初めて提供した Tenable について詳細情報をご覧ください。
Tenable.io60日間無料トライルを入手する。
関連記事
Cybersecurity Snapshot: Guide Unpacks Event-Logging Best Practices, as FAA Proposes Stronger Cyber Rules for Airplanes
August 23, 2024Looking to sharpen your team’s event logging and threat detection? A new guide offers plenty of best practices. Plus, the FAA wants airplanes to be more resilient to cyberattacks. Meanwhile, check out the critical vulnerabilities Tenable discovered in two Microsoft AI products. And get the latest on ransomware trends, vulnerability management practices and election security!
Cybersecurity Snapshot: EPA Urges Water Plants To Boost Cybersecurity, as OpenSSF Launches Threat Intel Platform for Open Source Software
May 24, 2024Check out the EPA’s call for water plants to beef up their cyber defenses. Plus, open source developers have a new platform to share threat intelligence. Moreover, business email compromise attacks prompt alert from U.K.’s cyber agency. And CISA tackles DNS encryption best practices. And much more!
Cybersecurity Snapshot: Want to Deploy AI Securely? New Industry Group Will Compile AI Safety Best Practices
December 15, 2023A group that includes the Cloud Security Alliance, CISA and Google is working to compile a comprehensive collection of best practices for secure AI use. Meanwhile, check out a draft of secure configuration recommendations for the Google Workspace suite. Plus, MITRE plans to release a threat model for embedded devices used in critical infrastructure. And much more!
Securing Financial Data in the Cloud: How Tenable Can Help
November 4, 2024Preventing data loss, complying with regulations, automating workflows and managing access are four key challenges facing financial institutions. Learn how Tenable can help.
Cybersecurity Snapshot: Apply Zero Trust to Critical Infrastructure’s OT/ICS, CSA Advises, as Five Eyes Spotlight Tech Startups’ Security
November 1, 2024Should critical infrastructure orgs boost OT/ICS systems’ security with zero trust? Absolutely, the CSA says. Meanwhile, the Five Eyes countries offer cyber advice to tech startups. Plus, a survey finds “shadow AI” weakening data governance. And get the latest on MFA methods, CISO trends and Uncle Sam’s AI strategy.
FY 2024 State and Local Cybersecurity Grant Program Adds CISA KEV as a Performance Measure
October 31, 2024The CISA Known Exploited Vulnerabilities (KEV) catalog and enhanced logging guidelines are among the new measurement tools added for the 2024 State and Local Cybersecurity Grant Program.
- Threat hunting
- Threat Intelligence
- Vulnerability Management
- Vulnerability Scanning