BDU:2024-02719
Сообщество свободного программного обеспечения, ООО «Ред Софт» Envoy, РЕД ОС
2024-01-05
Уязвимость oghttp-кодека (в части реализации протокола HTTP/2 ) прокси-сервера Envoy связана с ошибкой сброса запроса при превышении ограничений размера заголовков в результате отсутствия флага END_HEADERS при обработке фреймов CONTINUATION. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании
Технический анализ и план устранения
🇷🇺 Рекомендация ФСТЭК
Использование рекомендаций: https://github.com/envoyproxy/envoy/commit/57a02565532c18eb9df972a3e8974be3ae59f2d5 https://github.com/envoyproxy/envoy/releases/tag/v1.29.2
Компенсирующие меры: - использование систем обнаружения и предотвращения вторжений, позволяющих предотвратить реализацию атаки CONTINUATION Floud; - ограничить использование протокола HTTP/2 (перейти на HTTP /1.1).
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/