forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

Атака Continuation flood, приводящая к проблемам на серверах, использующих HTTP/2.0, opennews (??), 04-Апр-24, (0) [смотреть все]

Скрыто модератором, Аноним (1), 14:19 , 04-Апр-24, (1) //

Скрыто модератором, Аноним (4), 14:30 , 04-Апр-24, (4) +7 //

Скрыто модератором, Аноним (-), 14:40 , 04-Апр-24, (5) //

Скрыто модератором, пох. (?), 14:52 , 04-Апр-24, (7) +3

Красиво же, ну , Аноним (2), 14:25 , 04-Апр-24, (2) +9 //

Вектор атаки прост как топор Сейчас в сервисах ограничения на входные данные не, Аноним (49), 02:21 , 05-Апр-24, (49) +1

Как и в прошлый раз, пользователи HAProxy могут не подрываться У них код свой, , Аноним (3), 14:30 , 04-Апр-24, (3) +3 //

У HAProxy своих CVE хватает Все равно соглашусь - штука классная , Аноним (8), 14:54 , 04-Апр-24, (8) +3 //

Не хватает Я бы сказал 8212 их там дефицит , Аноним (3), 14:58 , 04-Апр-24, (9) //

Не накаркай, Аноним (8), 20:40 , 04-Апр-24, (34) +1

На нжинкс тоже походу не сработало Эти думают бошкой сколько ресурсов на запрос, Аноним (-), 23:11 , 04-Апр-24, (40) +4

Ух Страшна Жаль что Go затронут, но хорошо что с Java всё хорошо , Golangdev (?), 14:51 , 04-Апр-24, (6) //

Го уже зафисиксили в, go1 22 2, OpenEcho (?), 18:55 , 04-Апр-24, (29)
Атака Continuation flood, приводящая к проблемам на серверах..., javaboy (?), 20:51 , 04-Апр-24, (35) +1
- в списке не подверженных как и подверженных атаке серверов не заметно Tomcat, Хейтер (?), 11:47 , 05-Апр-24, (64) //

сами себе противоречитесовет - проверяйте сообщение, прежде чем его отправитьа с, Golangdev (?), 12:48 , 05-Апр-24, (67) //

- способны написать в чём Лично я противоречий в своем посте не вижу, но если ч, Хейтер (?), 14:55 , 05-Апр-24, (72)

до сих пор не понимаю, зачем что-то, кроме http1 1вместо чтоб выпилить гигабайты, 12yoexpert (ok), 15:04 , 04-Апр-24, (10) //

Лучше перфокарт голубями ничего не придумали, http для смузихлебов , Аноним (11), 15:24 , 04-Апр-24, (11) +1 //

Не стоит недооценивать бандвиз голубя груженого microSD картами современная в, Аноним (-), 23:12 , 04-Апр-24, (41) +2

Просто забыли последнюю фразу скопипастить Все бегом на HTTP 3 , Аноним (16), 15:49 , 04-Апр-24, (16) +2 //

А у него фрейминг внезапно почти такой же - и то что там на точно такую же грабл, Аноним (-), 23:14 , 04-Апр-24, (42)

Тоже так подумал изначально и даже не пытался на своём локалхосте раскомментиро, Anonymous_x (?), 17:58 , 04-Апр-24, (27)

Что характерно, дыры найдены исключительно в крякозябра-языках C, PHP, JS В че, Аноним (19), 15:59 , 04-Апр-24, (19) –4 //

Ты пишешь это на ОС написаной на человеческом языке, а сообщение в Интренет отпр, Аноним (1), 16:03 , 04-Апр-24, (22) –1 //

Наверное, из будущего У них там ядро Linux переписано на Rust , Аноним (25), 17:04 , 04-Апр-24, (25) +1

я скорее думаю, что про руби все забыли и там просто никто не искал , анонка (?), 17:04 , 04-Апр-24, (24) +7
На Brainf ck-e тоже не найдено не одной уязвимости Думаете дело в читаемости ко, Аноним (26), 17:18 , 04-Апр-24, (26)
Ага Потому что там HTTP 2 нет https github com puma puma issues 454Ни один но, Аноним (3), 18:49 , 04-Апр-24, (28) +2
Haproxy, nginx - C, но в списке их нет , Ivan_83 (ok), 19:50 , 04-Апр-24, (32) –1 //

тут список естьhttps kb cert org vuls id 421644HTTP 2 attacks involving CONTIN, Sw00p aka Jerom (?), 21:37 , 04-Апр-24, (36)
Пусть лучше покажет парсер HTTP 2 на рубях, который вообще кому-то и зачем-то бу, Аноним (-), 23:19 , 04-Апр-24, (45) //

На скрипоте пишут в основном в качестве PoC и для случаев когда проще написать, Ivan_83 (ok), 01:22 , 05-Апр-24, (47)

Но посмотреть как бы он на деле спправился с этой задачей - вместе с фреймингом , Аноним (-), 02:42 , 05-Апр-24, (50)

Лично я не вижу смысла в HTTP 2 вообще, а реализовывать его на высокуровневых яз, Ivan_83 (ok), 03:15 , 05-Апр-24, (51)

Параллельные потоки, меньше RTT ненужных, нет Head Of Line Blocking Поэтому вы , Аноним (-), 05:46 , 05-Апр-24, (54)

User Experience этот твой, никого не интересует , scriptkiddis (?), 07:44 , 05-Апр-24, (58)

Угу, пока не начинается отток юзерей и не возникает вопрос ребром а из чего мы , Аноним (-), 09:16 , 05-Апр-24, (61)

RTT вещь фундаментальная и зависит от скорости света в конкретных средах време, Ivan_83 (ok), 12:13 , 05-Апр-24, (65)

Зато протокол может поубавить их число и влияние на перфоманс Это жрет больше си, Аноним (68), 13:06 , 05-Апр-24, (68) +1

Вы отстали, там уже всё лишнее давно срезали Жрёт больше, работает лучше У вас п, Ivan_83 (ok), 13:38 , 05-Апр-24, (70)

По моему отстал не я H2 технически более совершенная штука Поэтому верхушка top, Аноним (-), 09:03 , 06-Апр-24, (77)

Это ничего не значит Миллионы мух не могут ошибатся Где UX и где задержка в 5 мс, Ivan_83 (ok), 21:53 , 06-Апр-24, (79)

Вас в гугле забанили что ли https github com igrigorik http-2, Аноним (74), 19:34 , 05-Апр-24, (74)

Дело не в языке, а в реализациях протокола , Минона (ok), 22:37 , 04-Апр-24, (38) //

Дело не в языке, а в спецификации протокола, при реализациях которой приходится , голос из леса (?), 23:10 , 04-Апр-24, (39) +2 //

Извини, весь common sense в спецификации не вколотишь А сколько ты там ресурсов, Аноним (-), 23:22 , 04-Апр-24, (46)

А много на ruby реализаций HTTP 2 с разбором фреймов его потока то Или там перф, Аноним (-), 23:18 , 04-Апр-24, (44) //

По крайней мере одна реализация существует Но вообще-то это типичная задача для, Аноним (74), 19:43 , 05-Апр-24, (75)

На рубях написан хттп сервер Сколько там запросов в секунду 5-10 , Аноним (78), 13:56 , 06-Апр-24, (78)

атаку пишет проффесионал Искать надо оттуда , Аноним (23), 16:54 , 04-Апр-24, (23)
Дайте эксплойт, Аноним (30), 19:24 , 04-Апр-24, (30)
Это какой-то позор , Аноним (31), 19:25 , 04-Апр-24, (31) +1
Вангую фиксинг дропом поддержки http 2 , Аноним (33), 20:00 , 04-Апр-24, (33) +1 //

В пользу HTTP 3 - который суть то же самое, но поверх UDP , Аноним (-), 01:23 , 05-Апр-24, (48) //

HTTP 3 даже не поддерживает HTTP Вот умора Только шифрование HTTPS под сертифи, Аноним (57), 07:40 , 05-Апр-24, (57)

NIST awards 3 6 million to address the cybersecurity workforce gapThe grants of, Аноним (52), 04:49 , 05-Апр-24, (52) +1 //

Сидеть на гугле будут все Хотя казалось бы - чего так сложно то разработать сво, Аноним (52), 04:58 , 05-Апр-24, (53) //

Капитализм При коммунистах такого не было , Аноним (55), 07:05 , 05-Апр-24, (55) //

Логично Нет интернета - нет вулнов в его протоколах При коммунистах - в СССР г, Аноним (-), 07:31 , 05-Апр-24, (56)

А зачем им арпанет, американская военная сеть Были свои процессоры, компьютеры,, Аноним (55), 08:02 , 05-Апр-24, (59)
Пруфы будут При СССР вполне себе продавался модем Менатеп sic , 2400, Манчес, 1 (??), 09:13 , 05-Апр-24, (60) +1

Насколько я помню подключать модемы как впрочем и аоны было запрещено правилами , Аноним (68), 10:35 , 05-Апр-24, (63)

При совке АОН только появился, как фича для самих телефонистов Бывало возьмёшь т, Ivan_83 (ok), 12:27 , 05-Апр-24, (66) +2

Он вообще вроде как фича СОРМ изначально задуман был Но фичу прочухали и стали , Аноним (68), 13:22 , 05-Апр-24, (69) +1

Он был задуман для биллинга выхода на автоматический межгород 8 на координат, Имя (?), 22:32 , 05-Апр-24, (76)

Помню как в 2000-е телефонисты в СМИ возмущались тому что проклятые dial-up-ы де, Kuromi (ok), 13:49 , 05-Апр-24, (71)

Ыыы какая прелесть , YetAnotherOnanym (ok), 09:29 , 05-Апр-24, (62)

Сообщения [Сортировка по времени | RSS]

6. "Атака Continuation flood, приводящая к проблемам на серверах..." +/–

Сообщение от Golangdev (?), 04-Апр-24, 14:51

> По мнению обнаружившего уязвимость исследователя, выявленная проблема более опасна
Ух! Страшна!!!
> Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net/http2, Envoy, oghttp и nghttp2
Жаль что Go затронут, но хорошо что с Java всё хорошо )

Ответить | Правка | Наверх | Cообщить модератору

29. "Атака Continuation flood, приводящая к проблемам на серверах..." +/–

Сообщение от OpenEcho (?), 04-Апр-24, 18:55

> Жаль что Go затронут
Го уже зафисиксили в, go1.22.2

Ответить | Правка | Наверх | Cообщить модератору

35. "Атака Continuation flood, приводящая к проблемам на серверах..." +1 +/–

Сообщение от javaboy (?), 04-Апр-24, 20:51

> oghttp (CVE-2024-27919) - неограниченное потребление памяти.

Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

64. "Атака Continuation flood, приводящая к проблемам на серверах..." +/–

Сообщение от Хейтер (?), 05-Апр-24, 11:47

>хорошо что с Java всё хорошо
- в списке не подверженных (как и подверженных) атаке серверов не заметно Tomcat. Так что не факт что с Java "всё хорошо"

Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

67. "Атака Continuation flood, приводящая к проблемам на серверах..." +/–

Сообщение от Golangdev (?), 05-Апр-24, 12:48

сами себе противоречите
совет - проверяйте сообщение, прежде чем его отправить
а с джавой действительно всё хорошо %)

Ответить | Правка | Наверх | Cообщить модератору

72. "Атака Continuation flood, приводящая к проблемам на серверах..." +/–

Сообщение от Хейтер (?), 05-Апр-24, 14:55

>сами себе противоречите
- способны написать в чём? Лично я противоречий в своем посте не вижу, но если что-то непонятно готов пояснить
>а с джавой действительно всё хорошо %)
- если Вы такой умный, то подскажите дуракам, есть описанная уязвимость в Tomcat или нет? Или Вы только по советам мастер?

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

6. "Атака Continuation flood, приводящая к проблемам на серверах..."	+/–
Сообщение от Golangdev (?), 04-Апр-24, 14:51
> По мнению обнаружившего уязвимость исследователя, выявленная проблема более опасна Ух! Страшна!!! > Apache httpd, Apache Traffic Server, Node.js, oghttp, Go net/http2, Envoy, oghttp и nghttp2 Жаль что Go затронут, но хорошо что с Java всё хорошо )
Ответить \| Правка \| Наверх \| Cообщить модератору


	29. "Атака Continuation flood, приводящая к проблемам на серверах..."	+/–
	Сообщение от OpenEcho (?), 04-Апр-24, 18:55
	> Жаль что Go затронут Го уже зафисиксили в, go1.22.2
	Ответить \| Правка \| Наверх \| Cообщить модератору


	35. "Атака Continuation flood, приводящая к проблемам на серверах..."	+1 +/–
	Сообщение от javaboy (?), 04-Апр-24, 20:51
	> oghttp (CVE-2024-27919) - неограниченное потребление памяти.
	Ответить \| Правка \| К родителю #6 \| Наверх \| Cообщить модератору


	64. "Атака Continuation flood, приводящая к проблемам на серверах..."	+/–
	Сообщение от Хейтер (?), 05-Апр-24, 11:47
	>хорошо что с Java всё хорошо - в списке не подверженных (как и подверженных) атаке серверов не заметно Tomcat. Так что не факт что с Java "всё хорошо"
	Ответить \| Правка \| К родителю #6 \| Наверх \| Cообщить модератору


	67. "Атака Continuation flood, приводящая к проблемам на серверах..."	+/–
	Сообщение от Golangdev (?), 05-Апр-24, 12:48
	сами себе противоречите совет - проверяйте сообщение, прежде чем его отправить а с джавой действительно всё хорошо %)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	72. "Атака Continuation flood, приводящая к проблемам на серверах..."	+/–
	Сообщение от Хейтер (?), 05-Апр-24, 14:55
	>сами себе противоречите - способны написать в чём? Лично я противоречий в своем посте не вижу, но если что-то непонятно готов пояснить >а с джавой действительно всё хорошо %) - если Вы такой умный, то подскажите дуракам, есть описанная уязвимость в Tomcat или нет? Или Вы только по советам мастер?
	Ответить \| Правка \| Наверх \| Cообщить модератору