forum.opennet.ru - "Уязвимость в реализациях протокола HTTP/2, упрощающая проведение DoS-атак" (68)

"Уязвимость в реализациях протокола HTTP/2, упрощающая проведение DoS-атак"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в реализациях протокола HTTP/2, упрощающая проведение DoS-атак"	+/–
Сообщение от opennews (??), 14-Авг-25, 10:28
Представлена новая техника атаки на реализации протокола HTTP/2, упрощающая проведение атак для вызова отказа в обслуживании через исчерпание ресурсов сервера. Уязвимость получила кодовое имя MadeYouReset и позволяет через манипуляции управляющими кадрами HTTP/2 наводнить сервер большим количеством запросов в обход установленных ограничений... Подробнее: https://www.opennet.me/opennews/art.shtml?num=63726
Ответить \| Правка \| Cообщить модератору

Оглавление

Скрыто модератором, Аноним (1), 10:28 , 14-Авг-25, (1) –16

Скрыто модератором, Аноним (2), 10:41 , 14-Авг-25, (2) +1

Скрыто модератором, Голдер и Рита (?), 10:44 , 14-Авг-25, (3)

Скрыто модератором, Аноним (14), 11:32 , 14-Авг-25, (14) +1

Скрыто модератором, L10N (ok), 10:51 , 14-Авг-25, (5)

Скрыто модератором, Жироватт (ok), 11:02 , 14-Авг-25, (10) –2

Скрыто модератором, L10N (ok), 11:07 , 14-Авг-25, (12) +1

Скрыто модератором, Аноним (22), 11:57 , 14-Авг-25, (22)

Скрыто модератором, L10N (ok), 14:27 , 14-Авг-25, (44)

Скрыто модератором, L10N (ok), 10:49 , 14-Авг-25, (4) +1

Скрыто модератором, Аноним (42), 14:08 , 14-Авг-25, (42) +1

Скрыто модератором, L10N (ok), 14:48 , 14-Авг-25, (50)

Скрыто модератором, Аноним (-), 10:53 , 14-Авг-25, (6)

Скрыто модератором, L10N (ok), 10:56 , 14-Авг-25, (7) +1

Скрыто модератором, Аноним (14), 11:38 , 14-Авг-25, (15)

Скрыто модератором, L10N (ok), 11:43 , 14-Авг-25, (17)

Скрыто модератором, Жироватт (ok), 10:57 , 14-Авг-25, (8) +1

Скрыто модератором, L10N (ok), 10:59 , 14-Авг-25, (9) +1

Скрыто модератором, Жироватт (ok), 11:04 , 14-Авг-25, (11)

Скрыто модератором, L10N (ok), 11:08 , 14-Авг-25, (13) –1

Скрыто модератором, Жироватт (ok), 11:59 , 14-Авг-25, (23)

Скрыто модератором, Аноним (-), 12:20 , 14-Авг-25, (27) +1

Скрыто модератором, Аноним (-), 12:49 , 14-Авг-25, (31) +1

Скрыто модератором, L10N (ok), 14:30 , 14-Авг-25, (45) +1

Скрыто модератором, Аноним (22), 12:17 , 14-Авг-25, (25)

Скрыто модератором, L10N (ok), 14:43 , 14-Авг-25, (48)

Скрыто модератором, Аноним (28), 12:37 , 14-Авг-25, (28) +3

А как пели про хттп 2, как его впи внедряли , Аноним (14), 11:40 , 14-Авг-25, (16) +2

Уязвимость не в протоколе, а в реализациях Читайте внимательно , L10N (ok), 11:45 , 14-Авг-25, (18) +2

А реализации кто-нибудь стандаризирует Апачи Фаундейшен скажем FIPS стандартиз, Филя (?), 13:50 , 14-Авг-25, (37) +1

Реализации могут сертифицировать Например, есть ГОСТы по алгоритмам шифрования , L10N (ok), 14:45 , 14-Авг-25, (49)

Выходы за границы буфера тоже не в спецификации, а в реализации Думай , Аноним (54), 14:58 , 14-Авг-25, (54)

Да, в реализации И что От этого уязвимости не в реализации, а в том, что реали, L10N (ok), 15:05 , 14-Авг-25, (57)

Что нормальный протокол и нормальный безопасный язык нельзя уязвимо реализовать , Аноним (76), 21:33 , 14-Авг-25, (76)

Это априори неверный тезис Представьте себе простейший протокол хоть вырожденн, L10N (ok), 22:32 , 14-Авг-25, (82)

а теперь сравни спецификацию http 1 1 и http 2 и хорошенько подумай, 12yoexpert (ok), 18:54 , 14-Авг-25, (68)

Да, впрямую говорить об обратной совместимости нельзя Скорее речь о концепциях,, L10N (ok), 22:26 , 14-Авг-25, (79)

Ну так скажи спасибо Гуглу за это На моей памяти несколько разрабов, связанных , Аноним (19), 11:45 , 14-Авг-25, (19)

Ниасилили , L10N (ok), 11:46 , 14-Авг-25, (20) –2

А вы осилили реализацию этого протокола Или просто так пишите, Анонирм (?), 14:42 , 14-Авг-25, (47)

А что там принципиально такого, что невозможно осилить Протокол как протокол К, L10N (ok), 14:51 , 14-Авг-25, (52) –3

Вот когда осилите, тогда и приходите с критикой А то получается что реальные ра, Анонирм (?), 14:54 , 14-Авг-25, (53) +1

Ну, одни осиливают, другие не осиливают Я думал, вы напишете, что конкретно это, L10N (ok), 15:04 , 14-Авг-25, (56) –1

А чего ожидали, начав ветку с наброса про не осилили Грамотного технического , Анонирм (?), 16:13 , 14-Авг-25, (59)

Это был неявный вопрос о том, а на что именно ругались Может, что-то неудобно и, L10N (ok), 17:17 , 14-Авг-25, (63)

HTTP 2 был создан с одной единственной целью - помочь CDN-кам разрулить по сути , Аноним (70), 19:10 , 14-Авг-25, (70)

Спасибо за подробности Стал лучше понимать неудобства , L10N (ok), 22:28 , 14-Авг-25, (80)

Посмотрел, кто разработал RFC по HTTP 2 M Thomson, Ed , Mozilla, C Benfie, L10N (ok), 17:14 , 14-Авг-25, (62)

Принциипальные там архитектурные проблемы - в данном случае, вместо постоянно от, nuclight (??), 17:37 , 14-Авг-25, (65) +2

Спасибо, так понятнее Это некоторый архитектурный компромисс для обратной совмес, L10N (ok), 18:07 , 14-Авг-25, (67)

У HTTP 2 нету обратной совместимости - это отдельный от HTTP 1 протокол По сути, Аноним (70), 19:15 , 14-Авг-25, (71)

Во многом да, но почему-то не все реализации подвержены этой проблеме Т е это , L10N (ok), 22:30 , 14-Авг-25, (81)

Ну это проблемы с воспитанием тех разрабов А своё-то мнение у тебя есть Или те, Аноним (60), 16:14 , 14-Авг-25, (60)
Спасибо гугл Без тебя бы сидели в пещерах О, я помню дед матюкался, когда ему , Аноним (-), 16:33 , 14-Авг-25, (61) +1

Так определяйте Это самый популярный сервер в интернете, на минуту, а они про к, Аноним (34), 13:28 , 14-Авг-25, (34)

Куда спешить, потом цапцарапнут готовое решение у апача , Аноним (35), 13:36 , 14-Авг-25, (35) +1
Ключевые слова А что там на бэкэнде используется значения не имеет , Аноним (36), 13:49 , 14-Авг-25, (36)

Да здравствуют Desync-атаки на да пофигу что там за HTTP 1 1 сервер на бэкенде , Аноним (70), 19:17 , 14-Авг-25, (72)

https www suse com fr-fr security cve CVE-2025-8671 htmlну если верить этому т, 1 (??), 18:06 , 14-Авг-25, (66)

Все какие-то решения серверов приложений Настоящие серверы хттп не подвержены, Аноним (38), 13:50 , 14-Авг-25, (38) +1

Что в очередной раз подтверждает не надо любые сервера приложений голой ж в , Аноним (58), 15:17 , 14-Авг-25, (58)

Мы хотим избавиться от задержек и сделаем протокол с обработкой запроса сразу п, Буквально (?), 14:06 , 14-Авг-25, (41) +2

w3techs после новостей показал увеличение доли http 3 - что как бы намекает , Аноним (28), 14:25 , 14-Авг-25, (43)
Куча приложений что рассчитывают на уязвимое поведение поломаются , Аноним (54), 14:59 , 14-Авг-25, (55)
Туда-же TCP с TLS переоткрывать дорого, ща мы в один поток кучу сообщений запих, Аноним (70), 19:19 , 14-Авг-25, (73)
Нужно срочно экономить количество запросов, а то лишние 10 килобайт трафика жалк, Oe (?), 19:20 , 14-Авг-25, (74) –1

ничо он не выкачивает, интернет выключен , Аноним (75), 20:37 , 14-Авг-25, (75)
По хттп 1, Аноним (76), 21:34 , 14-Авг-25, (77)

Сообщения [Сортировка по времени | RSS]

1. Скрыто модератором –16 +/–

Сообщение от Аноним (1), 14-Авг-25, 10:28

>"Проблема проявляется также на сайтах и серверных сервисах Mozilla."
У Mozilla всегда проблемы, она без них не может! 4% рынка как не как! Уже дропать и  закапывать надо!

Ответить | Правка | Наверх | Cообщить модератору

2. Скрыто модератором +1 +/–

Сообщение от Аноним (2), 14-Авг-25, 10:41

Они и так уже уволили инженеров, чтобы хватило на откат CEO. Что ещё ты хочешь? Берут, что есть в опенсорсе.

Ответить | Правка | Наверх | Cообщить модератору

3. Скрыто модератором +/–

Сообщение от Голдер и Рита (?), 14-Авг-25, 10:44

Жалко их, конечно.

Ответить | Правка | Наверх | Cообщить модератору

14. Скрыто модератором +1 +/–

Сообщение от Аноним (14), 14-Авг-25, 11:32

а вот не надо было изобретать безопасные языки, что, помогли они, сынку? (с)

Ответить | Правка | Наверх | Cообщить модератору

5. Скрыто модератором +/–

Сообщение от L10N (ok), 14-Авг-25, 10:51

Не успеваю переводить на русский всё, что они в последнее время создают в плане функций (GUI & KB). Только в последнем релизе Firefox появилось 12, если правильно помню, новых разработчиков в сообществе. В release notes сейчас их перечисляют.
Уязвимость как уязвимость. Разберутся.

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

10. Скрыто модератором –2 +/–

Сообщение от Жироватт (ok), 14-Авг-25, 11:02

А что там переводить-то?
- GetInclusiveDict()
- TranslateFromNormalToInclusiveLang(string WASP_Word)
- AddNewPrideMonthTheme()
- RoundNewTabMoreInnovatuvely()
- AddNewProbeInYourA55()
в переводах не нуждаются.

Ответить | Правка | Наверх | Cообщить модератору

12. Скрыто модератором +1 +/–

Сообщение от L10N (ok), 14-Авг-25, 11:07

Зайдите в Pontoon и в SUMO, посмотрите. Десятки проектов, от десятков до сотен строк в день, от нескольких до десятков изменений в статьях KB. Почти каждый вечер что-то обновляю/добавляю.

Ответить | Правка | Наверх | Cообщить модератору

22. Скрыто модератором +/–

Сообщение от Аноним (22), 14-Авг-25, 11:57

Куда-куда пойти?

Ответить | Правка | Наверх | Cообщить модератору

44. Скрыто модератором +/–

Сообщение от L10N (ok), 14-Авг-25, 14:27

Это сервисы, которые в Mozilla используются для локализации GUI продуктов и сервисов (включая сайты) и справочных статей соответственно. Кстати, доступ для всех свободен, любой может принять участие.

Ответить | Правка | Наверх | Cообщить модератору

4. Скрыто модератором +1 +/–

Сообщение от L10N (ok), 14-Авг-25, 10:49

4% рынка - в цифрах от 115 до 300 млн активных пользователей по разным оценкам. Каждому бы софту такую долю рынка. Например, доля рынка Linux на рынке ОС - 4-6%. И у Mozilla не только проблемы. Они не только софт производят, но и разрабатывают стандарты типа DNS over HTTPS, где они в соавторах RFC, языков (Rust изначально разрабатывался Mozilla) и т.п. Не принижайте :)

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

42. Скрыто модератором +1 +/–

Сообщение от Аноним (42), 14-Авг-25, 14:08

То есть заниматься чем угодно, кроме браузера - однозначно надо дропать.

Ответить | Правка | Наверх | Cообщить модератору

50. Скрыто модератором +/–

Сообщение от L10N (ok), 14-Авг-25, 14:48

Подобные комментарии странные. Если вы хотите, чтобы кто-то занимался только тем, что вам хочется, то что вы для этого сделали? Если хотите заниматься браузером, у вас есть такая возможность. Браузер открытый и все желающие могут принимать участие в разработке и развитии. И делают это :)

Ответить | Правка | Наверх | Cообщить модератору

6. Скрыто модератором +/–

Сообщение от Аноним (-), 14-Авг-25, 10:53

> У Mozilla всегда проблемы, она без них не может! 4% рынка как не как!
> Уже дропать и  закапывать надо!
Дизайнеры и манагеры не умеют в код и протоколы. Вот например принять решение о том как еще кровати переставить, тьфу, то-есть контролы - это они всегда пожалуйста.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

7. Скрыто модератором +1 +/–

Сообщение от L10N (ok), 14-Авг-25, 10:56

У вас тоже дизайнеры занимаются разработкой и протоколами?

Ответить | Правка | Наверх | Cообщить модератору

15. Скрыто модератором +/–

Сообщение от Аноним (14), 14-Авг-25, 11:38

Ты недооцениваешь мощь ИИ и "имхо" дизайнеров!

Ответить | Правка | Наверх | Cообщить модератору

17. Скрыто модератором +/–

Сообщение от L10N (ok), 14-Авг-25, 11:43

Мне сложно относиться к ИИ необъективно, я знаю, как они устроены :)

Ответить | Правка | Наверх | Cообщить модератору

8. Скрыто модератором +1 +/–

Сообщение от Жироватт (ok), 14-Авг-25, 10:57

Ты забыл про форму вкладок!

Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

9. Скрыто модератором +1 +/–

Сообщение от L10N (ok), 14-Авг-25, 10:59

UX тоже важен и Mozilla реагирует на то, что пользователи запрашивают в Mozilla Connect, почему нет. Но под капотом происходят куда более значительные изменения, если их отслеживать.

Ответить | Правка | Наверх | Cообщить модератору

11. Скрыто модератором +/–

Сообщение от Жироватт (ok), 14-Авг-25, 11:04

Опппачки, мозилловцы нам даже собственного продавайку выделили.
Ты только на опеннете проповедовать будешь, или оплатили пеар по спектру русскоязычных сайтов?
Под капотом там, изменения, ага.

Ответить | Правка | Наверх | Cообщить модератору

13. Скрыто модератором –1 +/–

Сообщение от L10N (ok), 14-Авг-25, 11:08

Нет, я Mozilla занимаюсь pro bono. Хотите запретить? Лидер русской локализации, приятно познакомиться :)

Ответить | Правка | Наверх | Cообщить модератору

23. Скрыто модератором +/–

Сообщение от Жироватт (ok), 14-Авг-25, 11:59

Не, мне реально интересно. Ну рад познакомится, Лидер.
За монетку подрядили переводчика подрабатывать евангелистом на опеннете, або за так, за идею работаешь?

Ответить | Правка | Наверх | Cообщить модератору

27. Скрыто модератором +1 +/–

Сообщение от Аноним (-), 14-Авг-25, 12:20

> на опеннете, або за так, за идею работаешь?
Ну, с ним предположим понятно.
А ты свои продукты жизнедеятельности по какой причине по форуму размазываешь?
Расскажи всем где тебя Мозилла трогала.

Ответить | Правка | Наверх | Cообщить модератору

31. Скрыто модератором +1 +/–

Сообщение от Аноним (-), 14-Авг-25, 12:49

Здесь половина пациентов тронутая на теме безопасных языков, за это Мозиллу и ненавидят.

Ответить | Правка | Наверх | Cообщить модератору

45. Скрыто модератором +1 +/–

Сообщение от L10N (ok), 14-Авг-25, 14:30

Вы почему так плохо по умолчанию думаете о людях? Вообще говоря, мы говорим об опенсорсе. Опенсорсные продукты развиваются сообществами. Это если вы не знаете. У меня есть работа, достаточно хорошая работа. А это нечто вроде хобби. 20 лет использую продукты Mozilla и где-то 10 лет локализую справку и GUI. Это и языковая тренировка, и отслеживаю, что происходит в мире веба, да и просто прикольно. Свободные продукты создают свободные люди :)

Ответить | Правка | К родителю #23 | Наверх | Cообщить модератору

25. Скрыто модератором +/–

Сообщение от Аноним (22), 14-Авг-25, 12:17

Как там Юрий Меркулов поживает?

Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

48. Скрыто модератором +/–

Сообщение от L10N (ok), 14-Авг-25, 14:43

Хм. Я с ним работал в Доктор Веб в 2005-2011. Давно не общались. Не знал, что он тут обзоры на Firefox в 2005 писал. Но, кстати, да, меня продуктами Mozilla заразили именно в этой компании, но не конкретно он.

Ответить | Правка | Наверх | Cообщить модератору

28. Скрыто модератором +3 +/–

Сообщение от Аноним (28), 14-Авг-25, 12:37

У гугло-юзеров всё как всегда - сайты от браузеров отличить не могут . :) Вот что ии  животворящий делает .

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

16. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +2 +/–

Сообщение от Аноним (14), 14-Авг-25, 11:40

А как пели про хттп/2, как его впи... внедряли.

Ответить | Правка | Наверх | Cообщить модератору

18. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +2 +/–

Сообщение от L10N (ok), 14-Авг-25, 11:45

Уязвимость не в протоколе, а в реализациях. Читайте внимательно :)

Ответить | Правка | Наверх | Cообщить модератору

37. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +1 +/–

Сообщение от Филя (?), 14-Авг-25, 13:50

А реализации кто-нибудь стандаризирует? Апачи Фаундейшен скажем. FIPS стандартизирует openssl для гос. сектора например, фстэк у вовы какие-то сетевые устройства перед использованием в гос. секторе и тп, в белоруссии вот ОАЦ есть, тоже этим занимаются. Мб знаете, не?

Ответить | Правка | Наверх | Cообщить модератору

49. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от L10N (ok), 14-Авг-25, 14:45

Реализации могут сертифицировать. Например, есть ГОСТы по алгоритмам шифрования. Типа там "Кузнечик", "Магма". А когда кто-то их реализует в своих продуктах, то ФСБ потом может сертифицировать для применения в госсекторе. Но в общем случае стандартизуется протокол/алгоритм, а вот реализовывать можно по-разному.

Ответить | Правка | Наверх | Cообщить модератору

54. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Аноним (54), 14-Авг-25, 14:58

Выходы за границы буфера тоже не в спецификации, а в реализации. Думай.

Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

57. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от L10N (ok), 14-Авг-25, 15:05

Да, в реализации. И что? От этого уязвимости не в реализации, а в том, что реализуется? :)

Ответить | Правка | Наверх | Cообщить модератору

76. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Аноним (76), 14-Авг-25, 21:33

Что нормальный протокол и нормальный безопасный язык нельзя уязвимо реализовать.

Ответить | Правка | Наверх | Cообщить модератору

82. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от L10N (ok), 14-Авг-25, 22:32

Это априори неверный тезис. Представьте себе простейший протокол (хоть вырожденный донельзя) и подумайте, сколькими способами можно его испортить плохой реализацией.

Ответить | Правка | Наверх | Cообщить модератору

68. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от 12yoexpert (ok), 14-Авг-25, 18:54

а теперь сравни спецификацию http 1.1 и http 2 и хорошенько подумай

Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

79. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от L10N (ok), 14-Авг-25, 22:26

Да, впрямую говорить об обратной совместимости нельзя. Скорее речь о концепциях, более привычных большинству. Замечание резонное.

Ответить | Правка | Наверх | Cообщить модератору

19. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Аноним (19), 14-Авг-25, 11:45

Ну так скажи спасибо Гуглу за это. На моей памяти несколько разрабов, связанных с реализацией HTTP, просто на мат переходили, когда речь заходила о HTTP/2.

Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

20. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." –2 +/–

Сообщение от L10N (ok), 14-Авг-25, 11:46

Ниасилили?

Ответить | Правка | Наверх | Cообщить модератору

47. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Анонирм (?), 14-Авг-25, 14:42

А вы осилили реализацию этого протокола? Или просто так пишите

Ответить | Правка | Наверх | Cообщить модератору

52. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." –3 +/–

Сообщение от L10N (ok), 14-Авг-25, 14:51

А что там принципиально такого, что невозможно осилить? Протокол как протокол. Конкретно этот не осиливал, а когда в системной аналитике работал по сетевой безопасности, читал различные RFC в оригинале без словаря. И понимал, что там написано, ибо в разрабатываемом файерволле их поддержка реализовывалась. Ну, да, современные протоколы могут быть более сложными, чем более ранние. Но принципиально-то что изменилось? Есть спецификация протокола, ей можно следовать. Не бином Ньютона.

Ответить | Правка | Наверх | Cообщить модератору

53. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +1 +/–

Сообщение от Анонирм (?), 14-Авг-25, 14:54

> Конкретно этот не осиливал
Вот когда осилите, тогда и приходите с критикой. А то получается что реальные разработчики были не в восторге, а вы их безосновательно критикуете, якобы не осилили. С себя начните.

Ответить | Правка | Наверх | Cообщить модератору

56. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." –1 +/–

Сообщение от L10N (ok), 14-Авг-25, 15:04

Ну, одни осиливают, другие не осиливают. Я думал, вы напишете, что конкретно этот протокол отличает от других. А вы пытаетесь оценивать меня. Конечно, HTTP/2 сложнее HTTP. Понятно, почему. Посмотрите, сколько лет прогресса между ними.

Ответить | Правка | Наверх | Cообщить модератору

59. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Анонирм (?), 14-Авг-25, 16:13

> А вы пытаетесь оценивать меня.
А чего ожидали, начав ветку с наброса про "не осилили"? Грамотного технического обсуждения?

Ответить | Правка | Наверх | Cообщить модератору

63. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от L10N (ok), 14-Авг-25, 17:17

Это был неявный вопрос о том, а на что именно ругались. Может, что-то неудобно или неочевидно описано. Извиняюсь, если задело, не имел такой цели :)

Ответить | Правка | Наверх | Cообщить модератору

70. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Аноним (70), 14-Авг-25, 19:10

HTTP/2 был создан с одной единственной целью - помочь CDN-кам разрулить по сути стрим-сокет поверх TCP. Почему они не могут просто разрулить TCP и увеличить количество одновременных подключений по TCP? Потому что почитайте, в какой бараний рог закручивает трафик Cloudflare - UDP работает через раз. Плюс везде прикрутили TLS, который нифига не IPsec и не может переиспользовать уже аутентифицированный канал для открытия новых каналов с новыми ключами, хотя бы потому что TLS живёт для каждого приложения по отдельности, а не предоставляется операционкой как сервис.

Ответить | Правка | К родителю #56 | Наверх | Cообщить модератору

80. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от L10N (ok), 14-Авг-25, 22:28

Спасибо за подробности. Стал лучше понимать неудобства :)

Ответить | Правка | Наверх | Cообщить модератору

62. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от L10N (ok), 14-Авг-25, 17:14

:)) Посмотрел, кто разработал RFC по HTTP/2. M. Thomson, Ed., Mozilla, C. Benfield, Ed., Apple Inc.

Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

65. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +2 +/–

Сообщение от nuclight (??), 14-Авг-25, 17:37

Принциипальные там архитектурные проблемы - в данном случае, вместо постоянно открытых потоков, по каждому из которых можно несколько запросов (аналоги отдельных TCP, как в SCTP собсно и сделали), они постоянно открывают и закрывают новые потоки. Эту же херь унаследовали в QUIC. Наличие спецификации и даже её осиливания еще вовсе не означает, что она хорошая.
(Читать RFC без словаря нынче суперскилл? ОК, так я их тогда пишу без словаря...)

Ответить | Правка | К родителю #52 | Наверх | Cообщить модератору

67. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от L10N (ok), 14-Авг-25, 18:07

Спасибо, так понятнее.
>они постоянно открывают и закрывают новые потоки
Это некоторый архитектурный компромисс для обратной совместимости и на основе анализа частоты use cases. Скорее, оптимизация для масс. В целом выбор верный, но в некоторых сценариях это неэффективно. Частично было решено в HTTP/3. Значит, в вашем случае разрабатывалось что-то, где это имеет значение, например, сильно влияет на производительность. Т.е. это не архитектурная проблема, а что-то вроде "не все вписались в рынок".
>(Читать RFC без словаря нынче суперскилл? ОК, так я их тогда пишу без словаря...)
Да нет, просто сказал, что была работа, связанная с изучением RFC-шек. Просто чтобы показать, что можно пообщаться на одном примерно языке. Респект за работу :)

Ответить | Правка | Наверх | Cообщить модератору

71. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Аноним (70), 14-Авг-25, 19:15

У HTTP/2 нету обратной совместимости - это отдельный от HTTP/1 протокол. По сути этой фичей (открытие-закрытие потоков) они и позволили сделать такую ддос атаку.

Ответить | Правка | Наверх | Cообщить модератору

81. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от L10N (ok), 14-Авг-25, 22:30

Во многом да, но почему-то не все реализации подвержены этой проблеме. Т.е. это всё же проблема реализаций?

Ответить | Правка | Наверх | Cообщить модератору

60. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Аноним (60), 14-Авг-25, 16:14

> несколько разрабов […] просто на мат переходили
Ну это проблемы с воспитанием тех разрабов. А своё-то мнение у тебя есть? Или тебе его матюки очередного быдла заменяют?

Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

61. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +1 +/–

Сообщение от Аноним (-), 14-Авг-25, 16:33

> Ну так скажи спасибо Гуглу за это.
Спасибо гугл! Без тебя бы сидели в пещерах))
> На моей памяти несколько разрабов, связанных с реализацией HTTP, просто на мат переходили, когда речь заходила о HTTP/2.
О, я помню дед матюкался, когда ему показали машину с автоматом.
Типа понавыдумаыли ***ни, вот на Волге - коробас нормальный, а этот что? даже в гараже не починишь.
А потом начал задвигать, что Настоящий Водитель умеет тормозить прерывисто и эти ваши АБС для лопухов.

Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

34. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Аноним (34), 14-Авг-25, 13:28

> Статус наличия уязвимости в nginx не определён.
Так определяйте. Это самый популярный сервер в интернете, на минуту, а они про какой-то сраный апач пишут.

Ответить | Правка | Наверх | Cообщить модератору

35. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +1 +/–

Сообщение от Аноним (35), 14-Авг-25, 13:36

Куда спешить, потом цапцарапнут готовое решение у апача.

Ответить | Правка | Наверх | Cообщить модератору

36. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Аноним (36), 14-Авг-25, 13:49

>HAProxy проблеме не подвержен
Ключевые слова. А что там на бэкэнде используется значения не имеет.

Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

72. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Аноним (70), 14-Авг-25, 19:17

Да здравствуют Desync-атаки на "да пофигу что там за HTTP/1.1 сервер на бэкенде"!

Ответить | Правка | Наверх | Cообщить модератору

66. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от 1 (??), 14-Авг-25, 18:06

https://www.suse.com/fr-fr/security/cve/CVE-2025-8671.html
ну если верить этому то nginx в различных версиях SUSE -- Not affected

Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

38. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +1 +/–

Сообщение от Аноним (38), 14-Авг-25, 13:50

>подтверждено в HTTP-серверах Apache Tomcat, Netty, Eclipse Jetty, Fastly, varnish
Все какие-то "решения" серверов приложений. Настоящие серверы хттп не подвержены.
>во многих реализациях HTTP/2-серверов после подобного сброса запрос продолжает обрабатываться
Позорище, конечно. Ну ничего - в корпоративной разработке стыд испытывать некому.

Ответить | Правка | Наверх | Cообщить модератору

58. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Аноним (58), 14-Авг-25, 15:17

Что в очередной раз подтверждает: не надо любые сервера приложений голой ж... в интернет выставлять. И реализация HTTP/2 в них не нужна, для связи с реверс-прокси этот протокол бесполезен.

Ответить | Правка | Наверх | Cообщить модератору

41. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +2 +/–

Сообщение от Буквально (?), 14-Авг-25, 14:06

"Мы хотим избавиться от задержек и сделаем протокол с обработкой запроса сразу по приходу первого же пакета".
Что же могло пойти не так?

Ответить | Правка | Наверх | Cообщить модератору

43. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Аноним (28), 14-Авг-25, 14:25

w3techs после новостей показал увеличение доли http/3 - что как бы намекает .

Ответить | Правка | Наверх | Cообщить модератору

55. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Аноним (54), 14-Авг-25, 14:59

Куча приложений что рассчитывают на уязвимое поведение поломаются.

Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

73. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Аноним (70), 14-Авг-25, 19:19

Туда-же "TCP с TLS переоткрывать дорого, ща мы в один поток кучу сообщений запихаем".

Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

74. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." –1 +/–

Сообщение от Oe (?), 14-Авг-25, 19:20

Нужно срочно экономить количество запросов, а то лишние 10 килобайт трафика жалко. И плевать, что каждый день радовой обладатель смартфона выкачивает терабайт обновлений из гугл плей.

Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

75. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Аноним (75), 14-Авг-25, 20:37

> каждый день радовой обладатель смартфона выкачивает
ничо он не выкачивает, интернет выключен.

Ответить | Правка | Наверх | Cообщить модератору

77. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..." +/–

Сообщение от Аноним (76), 14-Авг-25, 21:34

По хттп 1

Ответить | Правка | К родителю #74 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Скрыто модератором	–16 +/–
Сообщение от Аноним (1), 14-Авг-25, 10:28
>"Проблема проявляется также на сайтах и серверных сервисах Mozilla." У Mozilla всегда проблемы, она без них не может! 4% рынка как не как! Уже дропать и закапывать надо!
Ответить \| Правка \| Наверх \| Cообщить модератору


	2. Скрыто модератором	+1 +/–
	Сообщение от Аноним (2), 14-Авг-25, 10:41
	Они и так уже уволили инженеров, чтобы хватило на откат CEO. Что ещё ты хочешь? Берут, что есть в опенсорсе.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	3. Скрыто модератором	+/–
	Сообщение от Голдер и Рита (?), 14-Авг-25, 10:44
	Жалко их, конечно.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	14. Скрыто модератором	+1 +/–
	Сообщение от Аноним (14), 14-Авг-25, 11:32
	а вот не надо было изобретать безопасные языки, что, помогли они, сынку? (с)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	5. Скрыто модератором	+/–
	Сообщение от L10N (ok), 14-Авг-25, 10:51
	Не успеваю переводить на русский всё, что они в последнее время создают в плане функций (GUI & KB). Только в последнем релизе Firefox появилось 12, если правильно помню, новых разработчиков в сообществе. В release notes сейчас их перечисляют. Уязвимость как уязвимость. Разберутся.
	Ответить \| Правка \| К родителю #2 \| Наверх \| Cообщить модератору


	10. Скрыто модератором	–2 +/–
	Сообщение от Жироватт (ok), 14-Авг-25, 11:02
	А что там переводить-то? - GetInclusiveDict() - TranslateFromNormalToInclusiveLang(string WASP_Word) - AddNewPrideMonthTheme() - RoundNewTabMoreInnovatuvely() - AddNewProbeInYourA55() в переводах не нуждаются.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	12. Скрыто модератором	+1 +/–
	Сообщение от L10N (ok), 14-Авг-25, 11:07
	Зайдите в Pontoon и в SUMO, посмотрите. Десятки проектов, от десятков до сотен строк в день, от нескольких до десятков изменений в статьях KB. Почти каждый вечер что-то обновляю/добавляю.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	22. Скрыто модератором	+/–
	Сообщение от Аноним (22), 14-Авг-25, 11:57
	Куда-куда пойти?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	44. Скрыто модератором	+/–
	Сообщение от L10N (ok), 14-Авг-25, 14:27
	Это сервисы, которые в Mozilla используются для локализации GUI продуктов и сервисов (включая сайты) и справочных статей соответственно. Кстати, доступ для всех свободен, любой может принять участие.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	4. Скрыто модератором	+1 +/–
	Сообщение от L10N (ok), 14-Авг-25, 10:49
	4% рынка - в цифрах от 115 до 300 млн активных пользователей по разным оценкам. Каждому бы софту такую долю рынка. Например, доля рынка Linux на рынке ОС - 4-6%. И у Mozilla не только проблемы. Они не только софт производят, но и разрабатывают стандарты типа DNS over HTTPS, где они в соавторах RFC, языков (Rust изначально разрабатывался Mozilla) и т.п. Не принижайте :)
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	42. Скрыто модератором	+1 +/–
	Сообщение от Аноним (42), 14-Авг-25, 14:08
	То есть заниматься чем угодно, кроме браузера - однозначно надо дропать.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	50. Скрыто модератором	+/–
	Сообщение от L10N (ok), 14-Авг-25, 14:48
	Подобные комментарии странные. Если вы хотите, чтобы кто-то занимался только тем, что вам хочется, то что вы для этого сделали? Если хотите заниматься браузером, у вас есть такая возможность. Браузер открытый и все желающие могут принимать участие в разработке и развитии. И делают это :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	6. Скрыто модератором	+/–
	Сообщение от Аноним (-), 14-Авг-25, 10:53
	> У Mozilla всегда проблемы, она без них не может! 4% рынка как не как! > Уже дропать и закапывать надо! Дизайнеры и манагеры не умеют в код и протоколы. Вот например принять решение о том как еще кровати переставить, тьфу, то-есть контролы - это они всегда пожалуйста.
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	7. Скрыто модератором	+1 +/–
	Сообщение от L10N (ok), 14-Авг-25, 10:56
	У вас тоже дизайнеры занимаются разработкой и протоколами?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	15. Скрыто модератором	+/–
	Сообщение от Аноним (14), 14-Авг-25, 11:38
	Ты недооцениваешь мощь ИИ и "имхо" дизайнеров!
	Ответить \| Правка \| Наверх \| Cообщить модератору


	17. Скрыто модератором	+/–
	Сообщение от L10N (ok), 14-Авг-25, 11:43
	Мне сложно относиться к ИИ необъективно, я знаю, как они устроены :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	8. Скрыто модератором	+1 +/–
	Сообщение от Жироватт (ok), 14-Авг-25, 10:57
	Ты забыл про форму вкладок!
	Ответить \| Правка \| К родителю #6 \| Наверх \| Cообщить модератору


	9. Скрыто модератором	+1 +/–
	Сообщение от L10N (ok), 14-Авг-25, 10:59
	UX тоже важен и Mozilla реагирует на то, что пользователи запрашивают в Mozilla Connect, почему нет. Но под капотом происходят куда более значительные изменения, если их отслеживать.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	11. Скрыто модератором	+/–
	Сообщение от Жироватт (ok), 14-Авг-25, 11:04
	Опппачки, мозилловцы нам даже собственного продавайку выделили. Ты только на опеннете проповедовать будешь, или оплатили пеар по спектру русскоязычных сайтов? Под капотом там, изменения, ага.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	13. Скрыто модератором	–1 +/–
	Сообщение от L10N (ok), 14-Авг-25, 11:08
	Нет, я Mozilla занимаюсь pro bono. Хотите запретить? Лидер русской локализации, приятно познакомиться :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	23. Скрыто модератором	+/–
	Сообщение от Жироватт (ok), 14-Авг-25, 11:59
	Не, мне реально интересно. Ну рад познакомится, Лидер. За монетку подрядили переводчика подрабатывать евангелистом на опеннете, або за так, за идею работаешь?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	27. Скрыто модератором	+1 +/–
	Сообщение от Аноним (-), 14-Авг-25, 12:20
	> на опеннете, або за так, за идею работаешь? Ну, с ним предположим понятно. А ты свои продукты жизнедеятельности по какой причине по форуму размазываешь? Расскажи всем где тебя Мозилла трогала.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	31. Скрыто модератором	+1 +/–
	Сообщение от Аноним (-), 14-Авг-25, 12:49
	Здесь половина пациентов тронутая на теме безопасных языков, за это Мозиллу и ненавидят.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	45. Скрыто модератором	+1 +/–
	Сообщение от L10N (ok), 14-Авг-25, 14:30
	Вы почему так плохо по умолчанию думаете о людях? Вообще говоря, мы говорим об опенсорсе. Опенсорсные продукты развиваются сообществами. Это если вы не знаете. У меня есть работа, достаточно хорошая работа. А это нечто вроде хобби. 20 лет использую продукты Mozilla и где-то 10 лет локализую справку и GUI. Это и языковая тренировка, и отслеживаю, что происходит в мире веба, да и просто прикольно. Свободные продукты создают свободные люди :)
	Ответить \| Правка \| К родителю #23 \| Наверх \| Cообщить модератору


	25. Скрыто модератором	+/–
	Сообщение от Аноним (22), 14-Авг-25, 12:17
	Как там Юрий Меркулов поживает?
	Ответить \| Правка \| К родителю #13 \| Наверх \| Cообщить модератору


	48. Скрыто модератором	+/–
	Сообщение от L10N (ok), 14-Авг-25, 14:43
	Хм. Я с ним работал в Доктор Веб в 2005-2011. Давно не общались. Не знал, что он тут обзоры на Firefox в 2005 писал. Но, кстати, да, меня продуктами Mozilla заразили именно в этой компании, но не конкретно он.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	28. Скрыто модератором	+3 +/–
	Сообщение от Аноним (28), 14-Авг-25, 12:37
	У гугло-юзеров всё как всегда - сайты от браузеров отличить не могут . :) Вот что ии животворящий делает .
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору

16. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..."	+2 +/–
Сообщение от Аноним (14), 14-Авг-25, 11:40
А как пели про хттп/2, как его впи... внедряли.
Ответить \| Правка \| Наверх \| Cообщить модератору


	18. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..."	+2 +/–
	Сообщение от L10N (ok), 14-Авг-25, 11:45
	Уязвимость не в протоколе, а в реализациях. Читайте внимательно :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	37. "Уязвимость в реализациях протокола HTTP/2, упрощающая провед..."	+1 +/–
	Сообщение от Филя (?), 14-Авг-25, 13:50
	А реализации кто-нибудь стандаризирует? Апачи Фаундейшен скажем. FIPS стандартизирует openssl для гос. сектора например, фстэк у вовы какие-то сетевые устройства перед использованием в гос. секторе и тп, в белоруссии вот ОАЦ есть, тоже этим занимаются. Мб знаете, не?
	Ответить \| Правка \| Наверх \| Cообщить модератору