Résumé
Cadres de paramètres HTTP/2 sont utilisés par les points de terminaison pour échanger entre eux les paramètres définis. Le protocole HTTP/2 ne définit pas une limite pratique au nombre de paramètres paramètres inclus dans un bloc de paramètres unique (maximum autorisé est 2796202) et qu’il n’y a aucune limite sur le nombre de cadres de ces paramètres sont échangés.
Un client malveillant à l’aide de HTTP/2 peut exploiter cette situation pour un système de serveur HTTP/2 temporairement instable, en augmentant l’utilisation du processeur à 100 % avant que les connexions sont interrompues par Internet Information Services (IIS).
Résolution
Pour résoudre ce problème, Microsoft a fourni un autorisée pour définir des limites sur le nombre de paramètres de paramètres HTTP/2 via une connexion. Ces limites ne sont pas prédéfinies par Microsoft et doivent être définis par l’administrateur système après avoir examiné le protocole HTTP/2 et leurs exigences en matière d’environnement.
Ci-dessous les deux entrées de Registre sont ajoutées pour définir les limites :
Chemin d’accès : Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\HTTP\Parameters
Nom : Http2MaxSettingsPerFrame
Type : DWORD
Données : Prise en charge de la valeur de min 7 et max 2796202. Valeur de fin de la plage de valeurs tronquées pour correspondant min/max.
Chemin d’accès : Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\HTTP\Parameters
Nom : Http2MaxSettingsPerMinute
Type : DWORD
Données : Prise en charge min valeur 7. Plus petite valeur ajustée sur la valeur min.
Remarque : Un redémarrage de l’ordinateur, ou le redémarrage du service est requis pour lire les valeurs de Registre configurées, lorsqu’ils sont ajoutés la première fois ou modifiés.
Avec les limites fixées,
-
Jef une seule s cadre contient plus de paramètreparamètres tallation de "Http2MaxSettingsPerFrame" valeur, cette connexion est immédiatement supprimée.
-
Jef le nombre de stallation paramètres contient dans plusieurs paramètres traverse des trames reçues dans une minute "Http2MaxSettingsPerMinute» de valeur, puis la connexion est terminée.
Une fois correctement définie, ci-dessus permettent ensemble deux limites de terminer la connexion malveillante enfreindre ces limites et former un seuil pour les connexions sûres
