CVE-2023-39325
Təsvir
Sorğuları sürətlə yaradan və dərhal sıfırlayan zərərli HTTP/2 kliyenti server resurslarının həddindən artıq istifadəsinə səbəb ola bilər. Sorğuların ümumi sayı http2.Server.MaxConcurrentStreams parametri ilə məhdudlaşdırılsa da, davam edən sorğunun sıfırlanması hücumçuya mövcud sorğu hələ icra olunarkən yeni sorğu yaratmağa imkan verir. Tətbiq edilən düzəlişlə, HTTP/2 serverləri artıq eyni vaxtda icra olunan handler goroutine-lərinin sayını axın konkurrentlik limitinə (MaxConcurrentStreams) uyğun məhdudlaşdırır. Limitə çatdıqda gələn yeni sorğular (bu yalnız kliyent mövcud, yolda olan sorğunu sıfırladıqdan sonra baş verə bilər), bir handler çıxana qədər növbəyə alınacaq. Əgər sorğu növbəsi çox böyüsə, server bağlantını kəsəcək. Bu problem, HTTP/2-ni əllə konfiqurasiya edən istifadəçilər üçün golang.org/x/net/http2 kitabxanasında da düzəldilib. Defolt axın konkurrentlik limiti hər HTTP/2 bağlantısı üçün 250 axındır (sorğu). Bu dəyər golang.org/x/net/http2 paketi vasitəsilə tənzimlənə bilər; baxın Server.MaxConcurrentStreams parametri və ConfigureServer funksiyası.
Necə düzəltmək olar
- golang http20.17.0 və ya daha yeni versiya
- golang go1.20.10, 1.21.3 və ya daha yeni versiya
- golang.org/x/net0.17.0 və ya daha yeni versiya
- stdlib1.20.10, 1.21.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| golang http2 | v < 0.17.0 | 0.17.0 |
| golang go | 1.20.0 ≤ v < 1.20.10, 1.21.0 ≤ v < 1.21.3 | 1.20.10, 1.21.3 |
| fedoraproject fedora | 37, 38, 39 | — |
| netapp astra_trident | Aralıq göstərilməyib | — |
| netapp astra_trident_autosupport | Aralıq göstərilməyib | — |
| golang.org/x/netGo | v < 0.17.0 | 0.17.0 |
| stdlibGo | v < 1.20.10, 1.21.0-0 ≤ v < 1.21.3 | 1.20.10, 1.21.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.