Vulnerabilidad en Go (CVE-2023-39325)

Un cliente HTTP/2 malicioso que crea solicitudes rápidamente y las restablece inmediatamente puede provocar un consumo excesivo de recursos del servidor. Si bien el número total de solicitudes está limitado por la configuración http2.Server.MaxConcurrentStreams, restablecer una solicitud en curso permite al atacante crear una nueva solicitud mientras la existente aún se está ejecutando. Con la solución aplicada, los servidores HTTP/2 ahora vincularon el número de rutinas de controlador que se ejecutan simultáneamente al límite de concurrencia de transmisión (MaxConcurrentStreams). Las nuevas solicitudes que lleguen cuando se encuentre en el límite (lo que solo puede ocurrir después de que el cliente haya restablecido una solicitud existente en curso) se pondrán en cola hasta que salga un controlador. Si la cola de solicitudes crece demasiado, el servidor finalizará la conexión. Este problema también se solucionó en golang.org/x/net/http2 para los usuarios que configuran HTTP/2 manualmente. El límite de simultaneidad de transmisiones predeterminado es 250 transmisiones (solicitudes) por conexión HTTP/2. Este valor se puede ajustar utilizando el paquete golang.org/x/net/http2; consulte la configuración Server.MaxConcurrentStreams y la función ConfigureServer.