部分 HTTP/2 实现易于受到窗口大小操控和流优先顺序操控的攻击，可能导致拒绝服务。攻击者通过多个流从指定的资源请求大量数据。它们操控窗口大小和流优先顺序，以强制服务器在 1 字节区块中排列数据。根据数据排队的效率，这种攻击可能过度消耗 CPU、内存或两者兼有。(CVE-2019-9511) 一些 HTTP/2 实施容易受到标头泄露攻击，可能导致拒绝服务。攻击者发送具有零长度标头名称和零长度标头值的标头流，也可选择编码为 1 字节或更大标头的 Huffman。部分实现为这些标头分配内存，并保持分配活动直到会话结束。这可能消耗过量内存。(CVE-2019-9516) 一些 HTTP/2 实施容易受到不受限制的内部数据缓冲攻击，可能导致拒绝服务。攻击者打开 HTTP/2 窗口以便对等机可以不受限制地发送；但是它们会使 TCP 窗口关闭，因此对等机实际无法在线路上写入（许多）字节。然后，攻击者会针对大型响应对象发送请求流。根据服务器如何排序响应，这可能会消耗过多内存、CPU 或两者。(CVE-2019-9517)

检测

Amazon Linux 2 : mod_http2 (ALAS-2019-1342)（0 长度标头泄露）（数据 Dribble）（内部数据缓冲）

high Nessus 插件 ID 130401

版本 1.3