影响F5 NGINX产品的HTTP/2 Rapid Reset攻击

NGINX | 2023年10月10日

本篇博文重点介绍近期发现的一个与HTTP/2协议相关的漏洞。在特定条件下，攻击者可利用此漏洞，对NGINX Open Source、NGINX Plus以及其他实现HTTP/2规范服务器端部分的相关产品发起拒绝服务攻击。为保护系统免受此类攻击，建议立即更新NGINX配置。

HTTP/2流重置的问题

与服务器建立连接后，HTTP/2协议允许客户端发起并发流来交换数据。与该协议的早期版本不同，如果最终用户决定离开当前页面，或因任何其他原因停止数据交换，HTTP/2可通过向服务器发送RST_STREAM帧来取消相应的流，避免服务器执行不必要的工作。

攻击者可在已建立的连接上发起并快速取消大量HTTP/2流，从而绕过服务器的最大并发流限制，利用此漏洞。出现这种情况是因为传入流的重置速度快于后续流的到达速度，使客户端无需达到服务器配置的阈值即可使其过载。

对NGINX的影响

出于性能和资源消耗方面的考虑，NGINX默认将并发流数量限制为128（请参阅http2_max_concurrent_streams）。此外，为了在网络性能与服务器性能之间实现合理平衡，NGINX默认允许客户端通过HTTP keepalive将HTTP连接保持最多1,000个请求（请参阅keepalive_requests）。

NGINX利用默认的keepalive限制来防止此类攻击。恶意行为者若创建更多连接以绕过此限制，便会被标准的第4层监控和告警工具发现。

但是，如果为NGINX配置的keepalive值远高于默认值和建议设置，此类攻击可能会耗尽系统资源。当流重置时，HTTP/2协议要求不得再通过该流向客户端返回任何后续数据。通常，重置仅会产生可忽略不计的服务器开销，主要来自妥善处理取消操作的任务。但是，客户端可以绕过NGINX的流阈值，利用这部分开销，并通过快速发起数千个流将其放大。这会导致服务器CPU使用率骤升，使合法客户端无法获得服务。

在异常高的keepalive限制下建立HTTP/2流，随后取消流，从而造成拒绝服务。

降低攻击暴露风险的步骤

作为功能完备的服务器和代理，NGINX为管理员提供了强大的工具，可用于缓解拒绝服务攻击。要充分利用这些功能，必须对NGINX配置文件进行以下更新，以尽可能缩小服务器的攻击面：

keepalive_requests 应保留默认设置，即1,000个请求
http2_max_concurrent_streams 应保留默认设置，即128个流

我们还建议将以下安全措施作为最佳实践：

limit_conn 可限制单个客户端允许建立的连接数。应添加此指令并进行合理配置，以兼顾应用性能和安全性。
limit_req 可限制在给定时间内处理的单个客户端请求数量。应添加此指令并进行合理设置，以平衡应用性能与安全性。

我们的应对措施

我们试验了多种缓解策略，从而了解这种攻击可能会对不同类型的客户和用户造成怎样的影响。虽然这项研究证实，NGINX已具备避免此类攻击所需的全部工具，但我们仍希望采取进一步措施，确保确实需要超出建议规范配置NGINX的用户能够这样做。

我们的调查找到了一种方法，可在HTTP/2协议理论上可能遭受的各种洪泛攻击下提高服务器韧性。因此，我们发布了一个补丁，以增强系统在这些情况下的稳定性。为防范此类威胁，建议NGINX Open Source用户使用最新代码库重新构建二进制文件，并建议NGINX Plus客户立即更新至最新软件包（R29p1或R30p1）。