Gal Bar Nahum

يؤدي التباين بين مواصفات HTTP/2 والبنى الداخلية لبعض عمليات التنفيذ إلى حساب غير صحيح للتدفقات. من خلال فتح تدفقات وإجبار الخادم على إعادة الضبط بسرعة باستخدام إطارات غير صحيحة أو أخطاء في التحكم في التدفق، يمكن للمهاجم عن بُعد التسبب في استهلاك مفرط لموارد الخادم. يحدث ذلك لأن التدفقات التي يعيد الخادم ضبطها تُعتبر مغلقة على مستوى البروتوكول، على الرغم من استمرار المعالجة في الخلفية، مما يسمح للعميل بإجبار الخادم على التعامل مع عدد غير محدود من التدفقات المتزامنة في اتصال واحد. يمكن استخدام هذه المشكلة، التي أُطلق عليها اسم MadeYouReset، لشن هجمات حجب الخدمة (DoS) واسعة النطاق، كما أنها تتجاوز إجراءات التخفيف الخاصة بـ Rapid Reset من خلال خداع الخادم لإعادة تعيين عدادات التدفق الخاصة به. غالبًا ما يكون حركة مرور الهجوم

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: خادم Apache HTTP من الإصدار 2.4.17 حتى 2.4.63 الوصف: توجد مشكلة تتعلق بالتأخر في تحرير الذاكرة بعد انتهاء مدة صلاحيتها في خادم Apache HTTP. التوصيات: قم بالتحديث إلى الإصدار 2.4.64.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Apache Tomcat من 11.0.0-M1 حتى 11.0.9 إصدارات Apache Tomcat من 10.1.0-M1 حتى 10.1.43 إصدارات Apache Tomcat من 9.0.0.M1 حتى 9.0.107 الوصف: يؤدي خلل في إغلاق أو تحرير الموارد في Apache Tomcat إلى ظهور ثغرة أمنية تعرض النظام لهجوم «Made You Reset». قد تتأثر أيضًا الإصدارات الأقدم التي انتهى دعمها (end-of-life). التوصيات: قم بالتحديث إلى الإصدار 11.0.10 من Apache Tomcat. قم بالتحديث إلى الإصدار 10.1.44 من Apache Tomcat. قم بالتحديث إلى الإصدار 9.0.108 من Apache Tomcat.