Вариант для распечатки |
Пред. тема | След. тема | ||
| Форум Разговоры, обсуждение новостей | |||
|---|---|---|---|
| Изначальное сообщение | [ Отслеживать ] | ||
| "Атака на реализации HTTP/2, приводящая к исчерпанию доступной памяти" | +/– | |
| Сообщение от opennews (??), 04-Июн-26, 15:33 | ||
Раскрыта информация об уязвимости "HTTP/2 Bomb", затрагивающей различные реализации протокола HTTP/2 и позволяющей добиться отказа в обслуживании через исчерпание всей доступной процессу памяти. Наличие проблемы подтверждено в HTTP-серверах nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) и Cloudflare Pingora в конфигурации по умолчанию... | ||
| Ответить | Правка | Cообщить модератору | ||
| Оглавление |
| Сообщения | [Сортировка по ответам | RSS] |
| 1. Сообщение от Аноним (1), 04-Июн-26, 15:33 | –4 +/– | |
>добиться отказа в обслуживании через исчерпание всей доступной процессу памяти. Наличие проблемы подтверждено в HTTP-серверах Cloudflare Pingora в конфигурации по умолчанию | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #3, #5, #7, #96 | ||
| 2. Сообщение от НяшМяш (ok), 04-Июн-26, 15:45 | –7 +/– | |
Мертворождённый протокол. Не зря гугл быстро прыгнул делать QUIC/HTTP3. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #8, #9, #12, #35 | ||
| 3. Сообщение от User (??), 04-Июн-26, 15:46 | +/– | |
Дело не в расте, а в самой логике HTTP/2, по-сути ошибка (неопределённость) в самом стандарте. PS не фанатик ржавого. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #1 | ||
| 4. Сообщение от Stanislavvv (ok), 04-Июн-26, 15:48 | +1 +/– | |
Тут логическая ошибка — требуется выделять память под заголовки, которых тупо дохера и без лимита. Раст такое не ловит. А если таки будет ловить просто компилятором без иишки — постараюсь на него перейти. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #20, #42, #78 | ||
| 5. Сообщение от Аноним (5), 04-Июн-26, 15:50 | +/– | |
Тут не просто утечка, а атака. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #1 Ответы: #106 | ||
| 7. Сообщение от Аноним (7), 04-Июн-26, 15:54 Скрыто ботом-модератором | –1 +/– | |
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #1 | ||
| 8. Сообщение от Аноним (5), 04-Июн-26, 15:54 | +/– | |
https://blog.cloudflare.com/quic-death-spiral-fix/ | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #2 Ответы: #91 | ||
| 9. Сообщение от 12yoexpert (ok), 04-Июн-26, 15:54 | +6 +/– | |
и QUIC/HTTP3 юзерам тоже не нужен, UX на гигабайтных гугловых жс-помойках вроде ютуба от этого никак не изменится | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #2 | ||
| 12. Сообщение от Аноним (12), 04-Июн-26, 15:57 | +/– | |
А можно TCP/HTTP3 ? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #2 Ответы: #23 | ||
| 16. Сообщение от Doom (??), 04-Июн-26, 15:59 | +1 +/– | |
Вполне нормальное логичное развитие. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| 18. Сообщение от Аноним (18), 04-Июн-26, 16:00 | +/– | |
а caddy чего? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #22 | ||
| 19. Сообщение от Аноним (19), 04-Июн-26, 16:01 | +/– | |
За исключением крупняка из топ-500, HTTP/2 и тем более QUIC, абсолютно не нужны. Даже более - из-за чрезмерного усложнения протоколов остальному интернету сильно вредны (security + возрастание энтропии посредством бесполезного подогрева вселенной) | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #24, #40 | ||
| 20. Сообщение от Аноним (12), 04-Июн-26, 16:01 | +7 +/– | |
Нужен новый язык, обнаруживающий выход за пределы доступной процессу памяти. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #4 Ответы: #52 | ||
| 22. Сообщение от Аноним (5), 04-Июн-26, 16:02 | +/– | |
Незаметен: | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #18 | ||
| 23. Сообщение от Аноним (23), 04-Июн-26, 16:02 | +3 +/– | |
Можно. Тебе нужно, ты и делай | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #12 | ||
| 24. Сообщение от Аноним (18), 04-Июн-26, 16:05 | +1 +/– | |
> посредством бесполезного подогрева вселенной | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #19 Ответы: #28 | ||
| 28. Сообщение от 12yoexpert (ok), 04-Июн-26, 16:11 | +/– | |
ты забываешь про АЭС, а через 20 лет будет готов управляемый термояд | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #24 Ответы: #33, #34 | ||
| 30. Сообщение от BratishkaErik (ok), 04-Июн-26, 16:11 | +1 +/– | |
https://blog.calif.io/p/codex-discovered-a-hidden-http2-bomb | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| 33. Сообщение от Аноним (18), 04-Июн-26, 16:16 | –1 +/– | |
хахаха, этой мантре уже лет 40, собственно, энергия звезд она одна, панелькой солнечной ловить фотоны свежие или в недрах планеты находить тяжелые элементы, которые остатки прошлых звезд, значения не имеет. управляемый термояд, ну мб, тогда энергия водорода, который еще собрать надо, или не надо, можно подождать пока сам в звезду завернется. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #28 Ответы: #37, #39 | ||
| 34. Сообщение от Аноним83 (?), 04-Июн-26, 16:17 | –1 +/– | |
Он уже лет 60 как будет готов через 20 лет :) | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #28 | ||
| 35. Сообщение от Ilya Indigo (ok), 04-Июн-26, 16:17 | +/– | |
Вот только без HTTP2 (вам же нужно мультиплексирование, иначе зачем вам тогда HTTP3) ваш HTTP3 физически работать НЕ может! Сам HTTP3 НЕ может без HTTP2 сообщать клиенту что он есть! Вот такой прекрасный протокол! | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #2 Ответы: #84, #95 | ||
| 37. Сообщение от 12yoexpert (ok), 04-Июн-26, 16:19 | +/– | |
> значения не имеет | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #33 Ответы: #48 | ||
| 39. Сообщение от Аноним (7), 04-Июн-26, 16:21 | +/– | |
Ну как бы токомак уже запустили на 20 минут, пару лет назад рекорд был полторы минуты. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #33 Ответы: #43, #44 | ||
| 40. Сообщение от Аноним83 (?), 04-Июн-26, 16:22 | +/– | |
HTTP/2 и тем более QUIC очень нужен тем кто как гугл берёт деньги за якобы показ рекламы. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #19 | ||
| 41. Сообщение от Аноним (41), 04-Июн-26, 16:24 | +/– | |
Надо было останавливаться на HTTP/1.0. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #45, #57, #76 | ||
| 42. Сообщение от Аноним (42), 04-Июн-26, 16:29 | +/– | |
> Раст такое не ловит. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #4 | ||
| 43. Сообщение от Аноним83 (?), 04-Июн-26, 16:54 | –1 +/– | |
А вас не смущает что и токомак и ядерный реактор выдают не электричество а тепло? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #39 Ответы: #47, #55 | ||
| 44. Сообщение от Аноним (18), 04-Июн-26, 16:55 | –1 +/– | |
и? то что они там плазму удержали не значит что эффект был, а сколько времени пройдет прежде чем начнут их штамповать на конвеере, да и с учетом дегобализации начнут ли? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #39 Ответы: #60 | ||
| 45. Сообщение от Аноним83 (?), 04-Июн-26, 16:56 | +/– | |
1.0 неудобен, там connection: close всегда по стандарту. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #41 | ||
| 47. Сообщение от Аноним (7), 04-Июн-26, 16:58 | +/– | |
В Cloverfield уже обыграли, к чему это приводит. :> | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #43 | ||
| 48. Сообщение от Аноним (18), 04-Июн-26, 17:01 | +/– | |
энергия вселенной есть константа, закон сохранения энергии есть база, в контексте "бессмысленого обогрева" вселенной значения что и как вы в этой вселенной будете делать не имеет абсолютно никакого, поскольку любое действие именно подогревом вселенной и является. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #37 Ответы: #67, #113 | ||
| 49. Сообщение от жявамэн (ok), 04-Июн-26, 17:02 | +/– | |
ну что caddy как обычно лучший веб сервер | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #64 | ||
| 52. Сообщение от Смузихеб забывший пароль (?), 04-Июн-26, 17:07 | +/– | |
наверняка что-то подобное есть | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #20 | ||
| 55. Сообщение от Смузихеб забывший пароль (?), 04-Июн-26, 17:18 | –1 +/– | |
дело даже не в тепле, а в том, как ту энергию конкретно с термояда снимать | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #43 Ответы: #114 | ||
| 57. Сообщение от Annonymous (?), 04-Июн-26, 17:27 | +/– | |
>Надо было останавливаться на HTTP/1.0. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #41 | ||
| 60. Сообщение от Аноним (7), 04-Июн-26, 17:33 | +/– | |
Урана на 200 лет остаётся, нефти на 50. Если энергия может быть получена из более доступных ингредиентов, исследовать такую возможность имеет смысл. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #44 Ответы: #62, #63 | ||
| 62. Сообщение от Аноним (18), 04-Июн-26, 17:52 | +/– | |
> нефти на 50 | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #60 Ответы: #65 | ||
| 63. Сообщение от Аноним (63), 04-Июн-26, 17:54 | +/– | |
Тут у каждого девиз "после нас хоть потоп" | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #60 Ответы: #66 | ||
| 64. Сообщение от Аноним (18), 04-Июн-26, 17:55 | +1 +/– | |
300 мегабайт на соединение в дефолтном конфиге, ну такое себе, 100 соединений и прощай 30гб дорогущей озу. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #49 Ответы: #82 | ||
| 65. Сообщение от Аноним (7), 04-Июн-26, 18:03 | +/– | |
Ща бы ютубу верить. Наиболее доступные ресурсы давно исчерпаны, уже пришло время менее доступных. А, значит, дорогих. На 1200 хватит того, что сейчас в бочках и пещерах в виде отработки хранится, но это уже дороже. А торий значительно дороже обойдётся. Да и с U‑232 работать придётся. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #62 Ответы: #77 | ||
| 66. Сообщение от Аноним (18), 04-Июн-26, 18:04 | +/– | |
а что в этом удивительного? мир продолжает катиться в ад, одни там за меньшинства, другие за скрепы, адекваты вдруг стали исчезающим видом. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #63 | ||
| 67. Сообщение от 12yoexpert (ok), 04-Июн-26, 18:17 | +/– | |
теперь посмотри на E=mc^2 и попробуй ещё раз | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #48 | ||
| 69. Сообщение от Аноним (106), 04-Июн-26, 18:36 | +/– | |
> Наличие проблемы подтверждено в ... Cloudflare Pingora в конфигурации по умолчанию. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #70 | ||
| 70. Сообщение от Аноним (5), 04-Июн-26, 18:42 | +1 +/– | |
Проще задаться вопросом, а какой вообще есть проект без багов или уязвимостей ? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #69 Ответы: #71 | ||
| 71. Сообщение от Аноним (106), 04-Июн-26, 18:46 | +/– | |
Такое в суде почему-то не прокатывает: "Кто тут безгрешен? ... ". | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #70 Ответы: #72 | ||
| 72. Сообщение от Аноним (5), 04-Июн-26, 18:56 | +/– | |
>Кто тут безгрешен? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #71 | ||
| 74. Сообщение от YetAnotherOnanym (ok), 04-Июн-26, 19:04 | +/– | |
> запрос может содержать тысячи сжатых заголовков, таких как "Cookie", без прикреплённых данных, каждый из которых в запросе представлен однобайтовой ссылкой в индексе HPACK, но на сервере требует полноценного выделения памяти под весь заголовок | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| 76. Сообщение от Аноним (5), 04-Июн-26, 19:27 | +/– | |
https://opennet.ru/52129-http | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #41 Ответы: #79 | ||
| 77. Сообщение от Аноним (18), 04-Июн-26, 19:31 | +/– | |
> Ща бы ютубу верить | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #65 | ||
| 78. Сообщение от Аноним (78), 04-Июн-26, 19:34 | –1 +/– | |
А если нет разницы, то зачем прогибаться под корпоРАСТов? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #4 | ||
| 79. Сообщение от Аноним (41), 04-Июн-26, 19:43 | +/– | |
Забавно смотреть подобные графики когда всё связанное с интернетом тормозит и замедляется ещё сильнее с каждой новой технологией. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #76 | ||
| 82. Сообщение от q (ok), 04-Июн-26, 20:27 | +/– | |
Если бы это было так, то мы бы видели, как сайты на caddy недоступны 95% времени. Но поскольку это не так, то можно сказать с уверенностью, что с фантазией у тебя всё в порядке 👍 | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #64 Ответы: #86 | ||
| 84. Сообщение от Поп (?), 04-Июн-26, 20:42 | +/– | |
А кто мешает стучаться сразу в UDP/443 вместо TCP/443? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #35 Ответы: #92 | ||
| 86. Сообщение от Аноним (18), 04-Июн-26, 20:44 | +/– | |
так сказал ии, я не поленился спросить, ну даже если он ошибся на 2 порядка, такое себе | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #82 Ответы: #90 | ||
| 90. Сообщение от q (ok), 04-Июн-26, 20:59 | +1 +/– | |
"ИИ сказал" -- это новый аналог "одна бабка сказала"? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #86 Ответы: #99 | ||
| 91. Сообщение от Аноним (106), 04-Июн-26, 21:02 | +/– | |
> можно отключить использование протокола HTTP/2 | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #8 | ||
| 92. Сообщение от Ilya Indigo (ok), 04-Июн-26, 21:16 | +/– | |
> А кто мешает стучаться сразу в UDP/443 вместо TCP/443? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #84 Ответы: #105 | ||
| 94. Сообщение от Tron is Whistling (?), 04-Июн-26, 21:18 | +/– | |
haproxy не подвержен, прошёл мимо. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| 95. Сообщение от Tron is Whistling (?), 04-Июн-26, 21:19 | +/– | |
Щито? Прекрасно сообщается через хедер HTTP/1 | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #35 Ответы: #103 | ||
| 96. Сообщение от xPhoenix (ok), 04-Июн-26, 21:20 | +/– | |
Приплеталити сотого уровня. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #1 Ответы: #107 | ||
| 99. Сообщение от Аноним (18), 04-Июн-26, 21:26 | +/– | |
нууу, наверное да, но это аргумент, а контр аргументов я чтото не вижу, а выяснять, хоть у меня и есть сервер caddy , мне лень, поэтому 1 - 0 в пользу | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #90 Ответы: #108 | ||
| 102. Сообщение от Аноним (102), 04-Июн-26, 21:36 | +1 +/– | |
такое бывает когда схема протокола абстрактно описана и нет никаких ограничений в самом протоколе. только на уровне отдельных непонятных параметров серверов | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #111 | ||
| 103. Сообщение от Ilya Indigo (ok), 04-Июн-26, 21:38 | –2 +/– | |
> Щито? Прекрасно сообщается через хедер HTTP/1 | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #95 Ответы: #110 | ||
| 105. Сообщение от 12yoexpert (ok), 04-Июн-26, 21:46 | +1 +/– | |
ну да, у нас же кроме браузеров ничего нет | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #92 Ответы: #109 | ||
| 106. Сообщение от Аноним (106), 04-Июн-26, 22:02 | +/– | |
Тут не просто атака, а фейерическая неспособность спланировать архитектуру системы. Когда все мысли погружены в раст, думать уже нечем. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #5 | ||
| 107. Сообщение от Аноним (106), 04-Июн-26, 22:04 | +/– | |
Странно, но в любых реальных ситуациях раст не помогает, а лишь отвлекает. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #96 | ||
| 108. Сообщение от q (ok), 04-Июн-26, 22:09 | +/– | |
Контр-аргумент привел: если бы Caddy требовал хоть 30, хоть 3, хоть 0,3 метра per connection, то мы бы там и тут видели серверы с 5% аптаймом. Поскольку мы их не видим, то Caddy не настолько прожорлив, как ты тут втираешь без доказательств. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #99 | ||
| 109. Сообщение от Ilya Indigo (ok), 04-Июн-26, 22:11 | +1 +/– | |
> ну да, у нас же кроме браузеров ничего нет | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #105 Ответы: #112 | ||
| 110. Сообщение от Tron is Whistling (?), 04-Июн-26, 22:15 | +/– | |
Какие "первые запросы", какое мультиплексирование, о чём вы? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #103 | ||
| 111. Сообщение от Tron is Whistling (?), 04-Июн-26, 22:17 | +1 +/– | |
Ну так-то выделение памяти под хедеры - не проблема протокола. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #102 Ответы: #115 | ||
| 112. Сообщение от 12yoexpert (ok), 04-Июн-26, 22:47 | –1 +/– | |
у гугла спроси | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #109 | ||
| 113. Сообщение от Аноним (19), 04-Июн-26, 22:50 | +/– | |
>энергия вселенной есть константа | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #48 | ||
| 114. Сообщение от Аноним (5), 04-Июн-26, 23:16 | +/– | |
>с умным видом на этой хрени грантов и финансирования распилили | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #55 | ||
| 115. Сообщение от Аноним (106), 04-Июн-26, 23:18 | +/– | |
У разработчиков всегда не проблема использования стратегии xepак-xepак - и в пpoдакшын. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #111 | ||
|
Архив | Удалить |
Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема |
|
Закладки на сайте Проследить за страницей |
Created 1996-2026 by Maxim Chirkov Добавить, Поддержать, Вебмастеру |