HTTP/2 Rapid Reset 拒绝服务漏洞(CVE-2023-44487)高危漏洞修复

一、漏洞说明

HTTP/2协议允许客户端通过发送RST_STREAM帧来指示服务器应该取消之前的流。该协议允许客户端单方面请求取消，这种攻击被称为快速重置。在HTTP/2快速重置攻击中，客户端一次打开大量流，但不等待服务器或代理对每个请求流的响应，而是立即取消每个请求，通过大规模利用请求-取消-请求-取消快速重置攻击，会导致服务器CPU资源快速消耗，达到DoS。

二、加固建议

1. 使用HTTP/2协议会受此漏洞影响，否则不受影响，可以忽略。
   建议关闭HTTP/2协议，降级到HTTP/1.1，或更新各类产品相关安全设置，比如nginx默认配置下最多保持1000个HTTP连接，只要服务器性能不太差默认配置下不受该漏洞影响；而jetty则受漏洞影响，需要更新至最新安全版本。
2. nginx版本升级，更新到最新版本

三、参考链接

CVE官网链接:
https://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=CVE-2023-44487

CVE详情参考链接：
https://www.cvedetails.com/cve-details.php?t=1&cve_id=CVE-2023-44487

请到官网搜索此漏洞的编号CNNVD-202310-667，网址：https://www.cnnvd.org.cn/home/loophole

四、解决方案

将nginx版本<=1.24.0，升级至1.26.1