В Proxygen не было универсального механизма обнаружения медленных потребителей на базовом уровне сеанса HTTP. Удаленный злоумышленник, не прошедший проверку подлинности, может использовать управление потоком HTTP/2, установив для SETTINGS_INITIAL_WINDOW_SIZE значение 0 или удерживая кадры WINDOW_UPDATE, в результате чего сервер будет буферизовать полные тела ответа в памяти на неопределенный срок для остановленных потоков. Открывая множество одновременных потоков, запрашивающих большие ресурсы, и одновременно не позволяя серверу передавать ответы, злоумышленник может вызвать неограниченный рост памяти, что приведет к ухудшению качества обслуживания, истощению ресурсов или отказу в обслуживании.
Затрагиваются версии с 2017.01.16.00 по 2026.07.20.00.
Показать оригинальное описание (EN)
Proxygen lacked a generalized slow-consumer detection mechanism in its core HTTP session layer. A remote, unauthenticated attacker could exploit HTTP/2 flow-control by setting SETTINGS_INITIAL_WINDOW_SIZE to 0 or withholding WINDOW_UPDATE frames, causing the server to buffer complete response bodies in memory indefinitely for stalled streams. By opening many simultaneous streams requesting large resources while preventing the server from transmitting responses, an attacker could induce unbounded memory growth leading to service degradation, resource exhaustion, or denial of service. Versions v2017.01.16.00 through v2026.07.20.00 are affected.
Характеристики атаки
Последствия
Строка CVSS v3.1