Facebook TLS1.3開源項目Fizz庫存在DoS漏洞 可被用來發起大型DDoS攻擊
責編：gltian ｜2019-03-26 14:22:29Facebook的傳輸層安全（TLS）1.3協議的開源項目Fizz中的關鍵拒絕服務（DoS）漏洞可能導致執行代碼進入無限循環的狀態，從而不能正常提供服務，最終導致依賴它的任何Web服務停止運行。我們建議使用該項目的用戶應立即升級，以免受到影響。
Semmle的研究員Kevin Backhouse發現了Facebook Fizz項目中的漏洞bug（CVE-2019-3560）。Fizz用于大多數Facebook自己的基礎設施，以促進使用TLS 1.3（即https而不是http）與Web服務的安全通信，它在去年8月公開供其他組織中的項目使用。
根據本周發布的Semmle咨詢報告，
攻擊者通過TCP向任何使用Fizz的服務器發送惡意消息，使?整數溢出，導致無限循環。
研究人員稱，
攻擊者的攻擊成本非常低，只需一個小型的僵尸網絡就可以削弱一個大型數據中心的能力。?令人慶幸的是，利用漏洞攻擊只能使攻擊者破壞正常服務，但不會對用戶數據或內容進行未經授權的訪問。
Facebook已經修復了其自己的Fizz實現中的缺陷，并發布了一個最新補丁?版本2019.02.25.00（及更高版本）中
研究人員說：
“所有其他依賴Fizz的網絡應用程序都應該立即升級他們的Fizz庫，”
對漏洞的修復很簡單：“使用比uint16_t更大的類型來計算加法，那就不會導致整數溢出了”
參考鏈接：https://threatpost.com/dos-bug-facebook-fizz-tls/143086/