グーグル、CERT / CCと協力してNetflixのセキュリティチームは、ミドルウェアサービスの様々なサービスの脆弱性の拒否の分散HTTP / 2プロトコル実装を開示しました。悪意のあるクライアントは、いくつかの応答挙動を行うには、サーバーを要求しますが、クライアントが応答を読むことを拒否した：我々は、多くの主要な攻撃ベクトルの（今日の修理は）バリアントであることがわかりました。これは、キュー管理コードサーバをテストします。サーバーは、それを強制することができ、クライアントが要求を処理するにはあまりにも多くのメモリとCPUを消費し、キューにサービスを提供します。
CVE-2019-9511
指定されたリソースによって、複数のストリームからの大量のデータを要求する攻撃。彼らは、1バイトのデータ・ブロック・キューの形でサーバーを強制的にウィンドウサイズとストリームの優先順位を操作します。このデータによれば、サービスの拒否につながる可能性があり、過剰なCPU、メモリ、またはその両方を、消費することができる効率を、キューに入れられました。
CVE-2019-9512
攻撃者へのPingは、連続的なHTTP / 2ピア、内部応答キューにつながるピア構造を送信します。このデータによれば、サービスの拒否につながる可能性があり、過剰なCPU、メモリ、またはその両方を、消費することができる効率を、キューに入れられました。
CVE-2019-9513
攻撃者は、複数の要求ストリームを作成し、優先順位の木の巨大な損失をもたらす方法で、常に優先フローを変更しています。これは、過度のCPUを消費することがあり、それはサービス拒否につながる可能性があります。
CVE-2019-9514
攻撃者がオープン複数のストリームを、それぞれの有効なフローに要求を送信し、フロー要求は、ピアからRST_STREAMフレームを要求すべきです。それによればRST_STREAMフレーム待ち行列がサービス拒否につながる可能性があまりにも多くのメモリ、CPU、またはその両方を消費する方法ピア。
CVE-2019-9515
SE TTINGSの攻撃者は、ピアにフレームのストリームを送信します。RFC要求ピアSETTINGSので、各フレームは、リターン応答、実質的に同じ動作で空SETTINGSピングフレームを有しています。このデータによれば、サービスの拒否につながる可能性があり、過剰なCPU、メモリ、またはその両方を、消費することができる効率を、キューに入れられました。
CVE-2019-9516
0攻撃者はヘッダ名の長ヘッダ長と値0ストリーム、必要に応じてハフマン符号化ヘッダ1バイト以上でヘッダを送信します。一部の実装セッションが終了するまで、これらのヘッドの分布は、メモリはアクティブなまま割り当てます。これは、あまりにも多くのメモリを消費することがあり、それはサービス拒否につながる可能性があります。
CVE-2019-9517
ピアが実際にオンライン（多くの）バイトをする方法を記述することはできませんので、しかし、彼らはTCPウィンドウが閉じているようになります。あなたが無制限のピアを送ることができるように攻撃者は、HTTP / 2ウィンドウを開きました。その後、攻撃者はリクエストオブジェクトに応じて、大規模なストリームを送信します。応じて、どのようにサービス拒否につながる可能性があまりにも多くのメモリ、CPU、またはその両方を、消費するかもしれないサーバの応答キュー、。
CVE-2019-9518
攻撃者は、空の負荷及びフレーム終了フラグを有するない流れを送ります。これらのフレームは、DATA、ヘッダ、継続と/またはPUSH_PROMISEことができます。ピアは、各フレームと帯域幅の不均衡な攻撃を処理するために時間がかかります。これは、過度のCPUを消費することがあり、それはサービス拒否につながる可能性があります。
nginxのは影響が確認された、としているリリースされ、この脆弱性を更新しました。