HollowByte: 11 байт, и сервер задыхается

Есть уязвимости, которые красивы своей наглостью. HollowByte - одна из таких. Одиннадцать байт. Меньше, чем в слове «безопасность». И этого достаточно, чтобы сервер начал бесконтрольно пожирать память.

Что нашли. Red Team Okta выяснила, что старые версии OpenSSL выделяют буфер под размер, указанный в 4-байтовом заголовке, ещё до того, как реально приходят данные. То есть злоумышленник отправляет крошечный пакет, говорит: «Жду огромное сообщение», - и сервер послушно резервирует память под то, что никогда не придет. Аутентификации еще не было. Проверки нет. Просто malloc в никуда.

Дальше - неприятность с glibc. После разрыва соединения OpenSSL освобождает буфер, но glibc не спешит возвращать память системе, приберегая ее для повторного использования. Волны соединений со случайными «размерами» фрагментируют кучу, и RSS-сервер продолжает расти даже после того, как атакующий отключился. Помогает только перезапуск процесса.

Аналогия. Представьте ресторан, где официант бронирует банкетный зал на 200 человек, едва вы говорите: «Нас, наверное, будет много». Приходит один. Зал занят. Повторите это сто раз - и заведение простаивает, хотя внутри пусто.

Масштаб. OpenSSL встроен в NGINX, Apache, рантаймы Node.js, Python, Ruby, PHP, базы данных MySQL и PostgreSQL. По сути, он лежит в основе половины интернета. При этом, что характерно, исправление было выпущено без присвоения CVE, как «улучшение стабильности», и тихо бэкпортировано в версии 4.0.1, 3.6.3, 3.5.7, 3.4.6 и 3.0.21.

Выводы. Обычным пользователям паниковать не стоит: это не кража данных, а «сайт прилёг». Но если ваш любимый сервис вдруг начал тормозить - теперь вы знаете, что такое бывает.
Для бизнеса и директора по информационной безопасности: это скрытый риск, связанный с доступностью. Узнайте у команды, на какой версии OpenSSL работает периметр и проводится ли вообще инвентаризация библиотек. DoS не крадет секреты, но отлично портит репутацию и SLA.

Мой комментарий. Я почти люблю такие баги - они напоминают, что фундамент важнее фасада. Тренд на «асимметричные атаки» (мало усилий, много ущерба) будет только усиливаться. В ближайший год я жду еще больше историй о библиотеках, о которых никто не вспоминает, пока они не выйдут из строя.

Автор: Беляев Дмитрий

〰️〰️〰️
📝Связаться с Дмитрием
〰️〰️〰️
👆👆👆👆👆

✔️Подпишись на канал🔥
🕒 [Ранний доступ к подкастам] 🔥
▶️ [Чат]
🛒 [Все проекты] 🔥
🟡 [Менторство] 🔥
⚡️ [Буст BS]
🤔 [Стикеры]

🔜🔜🔜
💥 Почему нужно попасть на проект [Belyaev_Security]💥

#кибербезопасность #cybersecurity #OpenSSL #DoS #appsec