Tenable ブログ
ブログ通知を受信する
HTTP/2の複数のサービス拒否（DoS）の脆弱性が公開される（CVE-2019-9511、CVE-2019-9518）
HTTP/2のサードパーティの実装で、さまざまなサービス拒否の脆弱性が見つかりました。
背景
8月13日、Netflixの研究者は、GitHubでサードパーティによるHTTP/2プロトコル実装の8つの脆弱性の発見について詳述したアドバイザリを公開しました。この脆弱性は主にNetflixのエンジニアリングマネージャーであるJonathan Looneyによって発見されました。1つの脆弱性、CVE-2019-9518はGoogleのシニアソフトウェアエンジニアPiotr Sikoraによって発見されました。
出典：Cloudflare
分析
クライアント（「攻撃者」）は、特別に細工されたリクエストを脆弱なサーバーに送信することにより、これらのHTTP/2 の脆弱性を悪用できます。これらのリクエストはさまざまですが、脆弱なサーバーはリクエストを処理し、レスポンスを送信しようとします。ただし、悪意のあるクライアントはレスポンスを無視するため、リソースが過剰に消費され、サービス拒否（DoS）が発生します。
以下は、8つの脆弱性と、Netflixアドバイザリで付けられたニックネームです。
| CVE ID | ニックネーム |
|---|---|
| CVE-2019-9511 | “Data Dribble” |
| CVE-2019-9512 | “Ping Flood” |
| CVE-2019-9513 | “Resource Loop” |
| CVE-2019-9514 | “Reset Flood” |
| CVE-2019-9515 | “Settings Flood” |
| CVE-2019-9516 | “0-Length Headers Leak” |
| CVE-2019-9517 | “Internal Data Buffering” |
| CVE-2019-9518 | “Empty Frames Flood” |
概念実証
ブログが公開された時点では、概念実証コードは公開されていませんでした。
ソリューション
脆弱性に直ちに対処するために、NetflixのアドバイザリはHTTP/2サポートを無効にすることを推奨していますが、これによりパフォーマンスが低下するか、実行不可能になる可能性があることに注意してください。ソフトウェアベンダーは、これらの脆弱性に対するパッチを公開しています。ソフトウェアベンダーは、これらの脆弱性に対するパッチを公開しています。ベンダーからの最初のレポートは次のとおりです。
| ベンダー | リンク | 出典 |
|---|---|---|
| Akamai | HTTP2 Vulnerabilities | ブログ |
| Ambassador (API Gateway) | Multiple HTTP/2 vulnerabilities in Envoy Proxy | ブログ |
| Apache Traffic Server (ATS) | [ANNOUNCE] Apache Traffic Server is vulnerable to various HTTP/2 attacks | メーリングリスト |
| Cloudflare | On the recent HTTP/2 DoS attacks | ブログ |
| Envoy (Proxy) | Version 1.11.1 History | Changelog |
| Google (Golang) | [security] Go 1.12.8 and Go 1.11.13 are released | フォーラム投稿 |
| Microsoft | CVE-2019-9511, CVE-2019-9512, CVE-2019-9513, CVE-2019-9514, CVE-2019-9518 | アドバイザリ |
| Netty Project | Netty 4.1.39.Final released | ブログ |
| nghttp2 | nghttp2 v1.39.2 Release Notes | ソフトウェアリリース |
| Nginx | NGINX Updates Mitigate the August 2019 HTTP/2 Vulnerabilities | ブログ |
| Node.js | August 2019 Security Releases | ブログ |
| Swift | About the security content of SwiftNIO HTTP/2 1.5.0 | アドバイザリ |
これらのソフトウェアアプリケーションを使用しているお客様は、早急にパッチを適用したバージョンに更新する必要があります。
影響を受けているシステムの特定
この脆弱性を識別するための Tenable のプラグインのリストは、リリースされた時点でこちらに表示されます。
詳細情報
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
現代のアタックサーフェスを総合的に管理する Cyber Exposure Platform を初めて提供した Tenable について詳細情報をご覧ください。
Tenable.io60日間無料トライルを入手する。
関連記事
Cybersecurity Snapshot: Want to Deploy AI Securely? New Industry Group Will Compile AI Safety Best Practices
December 15, 2023A group that includes the Cloud Security Alliance, CISA and Google is working to compile a comprehensive collection of best practices for secure AI use. Meanwhile, check out a draft of secure configuration recommendations for the Google Workspace suite. Plus, MITRE plans to release a threat model for embedded devices used in critical infrastructure. And much more!
CVE-2022-27518: Unauthenticated RCE in Citrix ADC and Gateway
December 13, 2022Citrix has patched a critical remote code execution vulnerability in its Gateway and ADC products. This vulnerability has reportedly been exploited as a zero day; organizations should patch urgently.
GitHub’s Role in, and Responsibility to, the Security Community
May 10, 2021GitHub's decision to remove the ProxyLogon exploit proof-of-concept from its platform put security researchers at a disadvantage even as attackers continued to exploit the vulnerabilities en...
Operational Technology in the DoD: Ensuring a Secure and Efficient Power Grid
April 19, 2024In an evolving threat landscape, the DoD must make sure that its mission-critical operations don’t experience power outages.
Cybersecurity Snapshot: Cyber Agencies Offer Secure AI Tips, while Stanford Issues In-Depth AI Trends Analysis, Including of AI Security
April 19, 2024Check out recommendations for securing AI systems from the Five Eyes cybersecurity agencies. Plus, Stanford University offers a comprehensive review of AI trends. Meanwhile, a new open-source tool aims to simplify SBOM usage. And don’t miss the latest CIS Benchmarks updates. And much more!
Tenable and Thales Collaborate to Provide Cyber Defense Simulations to Better Secure Operational Technology Environments
April 18, 2024The heart of the Welsh Valleys is home to the Thales Ebbw Vale campus, a world-class facility jointly funded by the Welsh government as part of its regeneration program for the region. At the core of the facility is the Cyber Range, a simulation and virtualization platform for training, testing, exercising and R&D. Tenable has joined the lineup of solutions used to run real world simulations in this controlled environment.
- Threat hunting
- Threat Intelligence
- Vulnerability Management
- Vulnerability Scanning