Ny sårbarhet i HTTP2-protokollet

Tjo! Jag såg i nån Discord där det länkade till en nyhet (2024-04-04) om en ny sårbarhet i HTTP2-protokollet: https://www.bleepingcomputer.com/news/security/new-http-2-dos...

Här finns mer teknisk information samt testkod: https://nowotarski.info/http2-continuation-flood-technical-de...

Kortfattat - utan att jag kan något om HTTP2-protokollet - så verkar det handla om att oändligt antal av "frames" av slaget "CONTINUATION" skickas efter första "frame" med "HEADERS" utan att någon "END_HEADERS"-flagga skickas med. Då kan det "loopas" i evigheter på serversidan tills att servern kraschar pga. CPU-utmattning, minnesbrist, och/eller race bug.

Mvh,
WKL.