☰

带有 mod_http2 的 Apache 是否容易受到 Http/2 Rapid Reset CVE-2023-44487 的攻击

tag-icon • tag-icon apache2
带有 mod_http2 的 Apache 是否容易受到 Http/2 Rapid Reset CVE-2023-44487 的攻击

我在 Apache 网站上找不到任何关于此问题的信息，因此我已禁用 http/2 作为预防措施。有没有关于如何保护 Apache2 免受此问题影响的信息？

答案1

在 github 上找到了这个，

CVE-2023-44487 HTTP/2‘快速重置’ {#CVE-2023-44487}

Apache HTTP Server 不受以下问题的影响： CVE-2023-44487：我们长期以来为限制客户端过载而采取的措施在这种情况下是有效的。所描述的攻击将导致您的 Apache HTTP Server 进程的 CPU 使用率增加，但不会影响任何后端。

作为额外的缓解措施，如果您升级libnghttp2 依赖mod_http2​至少版本 1.57.0 这将彻底消除快速重置漏洞的影响。

https://github.com/apache/httpd-site/pull/10/files/0ed0b409383b2ab17c8c04a59b6365c3a27a4920

如果您有实时流量监控，您可以监控 rst_stream 数据包的异常活动。这似乎是 cloudflare 执行的缓解措施之一https://blog.cloudflare.com/technical-breakdown-http2-rapid-reset-ddos-attack/. 同样，引自https://www.theregister.com/2023/10/10/http2_rapid_reset_zeroday/, “为了减轻这种攻击的非取消变体的影响，我们建议 HTTP/2 服务器应关闭超出并发流限制的连接。这可以是立即关闭，也可以是在少数重复攻击之后关闭。” 如果尚未设置限制，则调整 H2MaxSessionStreams 可以帮助 apache 限制单个连接中的请求数量和内存使用量。

相关内容