KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2023-44487 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
HTTP/2协议允许客户端通过发送RST_STREAM帧来指示服务器应该取消之前的流。该协议允许客户端单方面请求取消，这种攻击被称为快速重置。在HTTP/2快速重置攻击中，客户端一次打开大量流，但不等待服务器或代理对每个请求流的响应，而是立即取消每个请求，通过大规模利用请求-取消-请求-取消快速重置攻击，会导致服务器CPU资源快速消耗，达到DoS。
影响范围
应用：akka http_server（影响面 Up to (excluding) 10.5.3）
应用：amazon opensearch_data_prepper（影响面 Up to (excluding) 2.5.0）
应用：apache apisix（影响面 Up to (excluding) 3.6.1）
应用：apache solr（影响面 Up to (excluding) 9.4.0）
应用：apache tomcat（影响面 Up to (including) 10.1.13）
应用：apache tomcat（影响面 Up to (including) 8.5.93）
应用：apache tomcat（影响面 Up to (including) 9.0.80）
应用：apache tomcat（版本 11.0.0）
……另有 292 项受影响环境，详见官方公告
解决方案
协议漏洞，建议关闭HTTP/2协议，降级到HTTP/1.1，或更新各类产品相关安全设置，比如nginx默认配置下最多保持1000个HTTP连接，只要服务器性能不太差默认配置下不受该漏洞影响；而jetty则受漏洞影响，需要更新至最新安全版本。
参考信息
http://www.openwall.com/lists/oss-security/2023/10/10/6
http://www.openwall.com/lists/oss-security/2023/10/10/7
http://www.openwall.com/lists/oss-security/2023/10/13/4
http://www.openwall.com/lists/oss-security/2023/10/13/9
http://www.openwall.com/lists/oss-security/2023/10/18/4
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。