Свыше 40% всех сайтов уязвимы из-за HTTP/2

Всего исследователями было обнаружено и описано 8 новых уязвимостей, которые так или иначе связаны с протоколом HTTP/2. Их эксплуатация вызывает отказ в работе на необновленных серверах. Уязвимости затрагивают продукты таких вендоров, как Amazon, Apache, Apple, Facebook, Microsoft, nginx, Node.js и Ubuntu.

По статистике W3Techs на текущий актуальный момент, объем серверов с использованием HTTP/2 составляет 40,0% от всех web-сайтов в интернете. Все векторы эксплуатации 8-ми уязвимостей являются вариациями одной и той же схемы, когда клиент провоцирует ответ с уязвимого сервера, а затем отказывается его прочитать. При этом, выполняется код управления очередями сервера.

В зависимости от того, как сервер обрабатывает свои очереди, клиент может заставить его потреблять избыточную память и процессор при обработке своих запросов.HTTP/2 представляет собой значительное обновление HTTP / 1.1. В нем есть несколько новых возможностей, включая сжатие заголовков и мультиплексирование данных из нескольких потоков, которые делают это привлекательным для сообщества пользователей.