Podatności HTTP/2

Atakujący może spowodować, że punkt końcowy HTTP/2 odczyta dowolną ilość danych nagłówka, wysyłając nadmierną liczbę ramek CONTINUATION. Utrzymanie stanu HPACK wymaga parsowania i przetwarzania wszystkich ramek HEADERS i CONTINUATION na połączeniu; gdy nagłówki żądania przekraczają MaxHeaderBytes, pamięć nie jest alokowana na nadmiarowe nagłówki, ale są one nadal parsowane. Pozwala to atakującemu na zmuszenie punktu końcowego HTTP/2 do odczytu dowolnej ilości danych nagłówka, w tym danych kodowanych Huffmanem, których dekodowanie jest znacznie droższe dla odbiorcy niż wysłanie dla atakującego. Poprawka ustanawia limit nadmiarowych ramek nagłówka przetwarzanych przed zamknięciem połączenia.

Nieokiełznane zużycie zasobów w protokole HTTP/2 umożliwia nieuwierzytelnionemu atakującemu przeprowadzenie ataku DoS (odmowa usługi) przez sieć.

Brak ograniczeń alokacji zasobów w HTTP/2 umożliwia nieautoryzowanemu atakującemu odmowę usługi przez sieć.