forum.opennet.ru - "Атака на реализации HTTP/2, приводящая к исчерпанию доступной памяти" (59)

"Атака на реализации HTTP/2, приводящая к исчерпанию доступной памяти"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Атака на реализации HTTP/2, приводящая к исчерпанию доступной памяти"	+/–
Сообщение от opennews (??), 04-Июн-26, 15:33
Раскрыта информация об уязвимости "HTTP/2 Bomb", затрагивающей различные реализации протокола HTTP/2 и позволяющей добиться отказа в обслуживании через исчерпание всей доступной процессу памяти. Наличие проблемы подтверждено в HTTP-серверах nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) и Cloudflare Pingora в конфигурации по умолчанию... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=65616
Ответить \| Правка \| Cообщить модератору

Оглавление

А как же хваленый секуриту раст и его боров чекер , Аноним (1), 15:33 , 04-Июн-26, (1) –3

Скрыто модератором, User (??), 15:46 , 04-Июн-26, (3) +1
Тут не просто утечка, а атака https github com cloudflare pingora, Аноним (5), 15:50 , 04-Июн-26, (5)
Скрыто модератором, Аноним (7), 15:54 , 04-Июн-26, (7) –1
Скрыто модератором, Аноним (56), 17:18 , 04-Июн-26, (56) –2

Мертворождённый протокол Не зря гугл быстро прыгнул делать QUIC HTTP3 , НяшМяш (ok), 15:45 , 04-Июн-26, (2) –8

https blog cloudflare com quic-death-spiral-fix , Аноним (5), 15:54 , 04-Июн-26, (8)
и QUIC HTTP3 юзерам тоже не нужен, UX на гигабайтных гугловых жс-помойках вроде , 12yoexpert (ok), 15:54 , 04-Июн-26, (9) +4
А можно TCP HTTP3 , Аноним (12), 15:57 , 04-Июн-26, (12)

Можно Тебе нужно, ты и делай, Аноним (23), 16:02 , 04-Июн-26, (23)

Вот только без HTTP2 вам же нужно мультиплексирование, иначе зачем вам тогда HT, Ilya Indigo (ok), 16:17 , 04-Июн-26, (35) +1

Тут логическая ошибка 8212 требуется выделять память под заголовки, которых т, Stanislavvv (ok), 15:48 , 04-Июн-26, (4) +1

Нужен новый язык, обнаруживающий выход за пределы доступной процессу памяти , Аноним (12), 16:01 , 04-Июн-26, (20) +5

наверняка что-то подобное естьв том же яблочном Obj-C целое событие имелось, кот, Смузихеб забывший пароль (?), 17:07 , 04-Июн-26, (52)

Ну началось , Аноним (42), 16:29 , 04-Июн-26, (42)
А если нет разницы, то зачем прогибаться под корпоРАСТов , Аноним (78), 19:34 , 04-Июн-26, (78) –1

Вполне нормальное логичное развитие Даже with-security-in-mind сходу ограничить , Doom (??), 15:59 , 04-Июн-26, (16) +1
а caddy чего , Аноним (18), 16:00 , 04-Июн-26, (18)

Незаметен https www netcraft com blog march-2026-web-server-survey, Аноним (5), 16:02 , 04-Июн-26, (22)

За исключением крупняка из топ-500, HTTP 2 и тем более QUIC, абсолютно не нужны , Аноним (19), 16:01 , 04-Июн-26, (19) –1

а если фотоны пролетят мимо Земли, то они подогреют вселенную очень полезно, ага, Аноним (18), 16:05 , 04-Июн-26, (24) +1

ты забываешь про АЭС, а через 20 лет будет готов управляемый термояд, 12yoexpert (ok), 16:11 , 04-Июн-26, (28)

хахаха, этой мантре уже лет 40, собственно, энергия звезд она одна, панелькой со, Аноним (18), 16:16 , 04-Июн-26, (33) –1

имеет, попробуй подумать, 12yoexpert (ok), 16:19 , 04-Июн-26, (37)

энергия вселенной есть константа, закон сохранения энергии есть база, в контекст, Аноним (18), 17:01 , 04-Июн-26, (48) –1

теперь посмотри на E mc 2 и попробуй ещё раз, 12yoexpert (ok), 18:17 , 04-Июн-26, (67)

Ну как бы токомак уже запустили на 20 минут, пару лет назад рекорд был полторы м, Аноним (7), 16:21 , 04-Июн-26, (39)

А вас не смущает что и токомак и ядерный реактор выдают не электричество а тепло, Аноним83 (?), 16:54 , 04-Июн-26, (43) –1

В Cloverfield уже обыграли, к чему это приводит , Аноним (7), 16:58 , 04-Июн-26, (47)
дело даже не в тепле, а в том, как ту энергию конкретно с термояда сниматьодним , Смузихеб забывший пароль (?), 17:18 , 04-Июн-26, (55) –1

Скрыто модератором, Аноним (5), 17:30 , 04-Июн-26, (58)

и то что они там плазму удержали не значит что эффект был, а сколько времени пр, Аноним (18), 16:55 , 04-Июн-26, (44) –1

Урана на 200 лет остаётся, нефти на 50 Если энергия может быть получена из боле, Аноним (7), 17:33 , 04-Июн-26, (60)

хоть видосики на ютубе поглядите, эту сказку придумали еще до того как построили, Аноним (18), 17:52 , 04-Июн-26, (62)

Ща бы ютубу верить Наиболее доступные ресурсы давно исчерпаны, уже пришло время, Аноним (7), 18:03 , 04-Июн-26, (65)

не верьте, но на иных площадках написано ровно тоже самое, конечно можно не вери, Аноним (18), 19:31 , 04-Июн-26, (77)

Тут у каждого девиз после нас хоть потоп , Аноним (63), 17:54 , 04-Июн-26, (63)

а что в этом удивительного мир продолжает катиться в ад, одни там за меньшинств, Аноним (18), 18:04 , 04-Июн-26, (66)

деглобализация существует только в твоей методичкевсем пофиг, что какое-то терро, 12yoexpert (ok), 19:16 , 04-Июн-26, (75)

а причем тут ввп, англия из ес вышла потому что что а китайскся война трампа э, Аноним (18), 19:52 , 04-Июн-26, (81)

очевидно, никто не будет читать твоё ctrl c ctrl v из методички, 12yoexpert (ok), 20:31 , 04-Июн-26, (83)

Он уже лет 60 как будет готов через 20 лет , Аноним83 (?), 16:17 , 04-Июн-26, (34) –1

о, местная икспертиза подъехала, Аноним (32), 16:12 , 04-Июн-26, (32)

ну хоть тут можно говорить что вздумается, пока еще, Аноним (18), 16:18 , 04-Июн-26, (36) +1

HTTP 2 и тем более QUIC очень нужен тем кто как гугл берёт деньги за якобы показ, Аноним83 (?), 16:22 , 04-Июн-26, (40)

https blog calif io p codex-discovered-a-hidden-http2-bombНашли с помощью Code, BratishkaErik (ok), 16:11 , 04-Июн-26, (30)
Надо было останавливаться на HTTP 1 0 , Аноним (41), 16:24 , 04-Июн-26, (41)

1 0 неудобен, там connection close всегда по стандарту , Аноним83 (?), 16:56 , 04-Июн-26, (45)
1 1 же websocket, с которым однако как-то больше всё на совести самих использу, Annonymous (?), 17:27 , 04-Июн-26, (57)
https opennet ru 52129-http, Аноним (5), 19:27 , 04-Июн-26, (76)

Забавно смотреть подобные графики когда всё связанное с интернетом тормозит и за, Аноним (41), 19:43 , 04-Июн-26, (79)

ну что caddy как обычно лучший веб сервер, жявамэн (ok), 17:02 , 04-Июн-26, (49)

300 мегабайт на соединение в дефолтном конфиге, ну такое себе, 100 соединений и , Аноним (18), 17:55 , 04-Июн-26, (64) +1

Если бы это было так, то мы бы видели, как сайты на caddy недоступны 95 времени, q (ok), 20:27 , 04-Июн-26, (82)

Нормально так, главный файервол планеты - и тот с проблемами , Аноним (69), 18:36 , 04-Июн-26, (69)

Проще задаться вопросом, а какой вообще есть проект без багов или уязвимостей , Аноним (5), 18:42 , 04-Июн-26, (70) +1

Такое в суде почему-то не прокатывает Кто тут безгрешен , Аноним (69), 18:46 , 04-Июн-26, (71)

А что поделать, тут с Copy Fail ещё эпопея не закончилась https opennet ru 655, Аноним (5), 18:56 , 04-Июн-26, (72)

А вообще не выделять сразу память под такой заголовок , YetAnotherOnanym (ok), 19:04 , 04-Июн-26, (74)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 04-Июн-26, 15:33 –3 +/–

>добиться отказа в обслуживании через исчерпание всей доступной процессу памяти. Наличие проблемы подтверждено в HTTP-серверах Cloudflare Pingora в конфигурации по умолчанию
А как же хваленый секуриту раст и его боров чекер?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #5, #7, #56

2. Сообщение от НяшМяш (ok), 04-Июн-26, 15:45 –8 +/–

Мертворождённый протокол. Не зря гугл быстро прыгнул делать QUIC/HTTP3.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #8, #9, #12, #35

3. Сообщение от User (??), 04-Июн-26, 15:46 Скрыто ботом-модератором +1 +/–

Дело не в расте, а в самой логике HTTP/2, по-сути ошибка (неопределённость) в самом стандарте. PS не фанатик ржавого.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

4. Сообщение от Stanislavvv (ok), 04-Июн-26, 15:48 +1 +/–

Тут логическая ошибка — требуется выделять память под заголовки, которых тупо дохера и без лимита. Раст такое не ловит. А если таки будет ловить просто компилятором без иишки — постараюсь на него перейти.
UPD: странный глюк сайта — я нажимал ответить на коммент, а не что-то там.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #20, #42, #78

5. Сообщение от Аноним (5), 04-Июн-26, 15:50 +/–

Тут не просто утечка, а атака.
https://github.com/cloudflare/pingora

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

7. Сообщение от Аноним (7), 04-Июн-26, 15:54 Скрыто ботом-модератором –1 +/–

Раст никак не защищает от утечек. Только диагностику потерянной памяти более запутанной.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

8. Сообщение от Аноним (5), 04-Июн-26, 15:54 +/–

https://blog.cloudflare.com/quic-death-spiral-fix/

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

9. Сообщение от 12yoexpert (ok), 04-Июн-26, 15:54 +4 +/–

и QUIC/HTTP3 юзерам тоже не нужен, UX на гигабайтных гугловых жс-помойках вроде ютуба от этого никак не изменится

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

12. Сообщение от Аноним (12), 04-Июн-26, 15:57 +/–

А можно TCP/HTTP3 ?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #23

16. Сообщение от Doom (??), 04-Июн-26, 15:59 +1 +/–

Вполне нормальное логичное развитие.
Даже with-security-in-mind сходу ограничить число заголовков мало кому получится в своем продукте при реализации нового протокола.

Ответить | Правка | Наверх | Cообщить модератору

18. Сообщение от Аноним (18), 04-Июн-26, 16:00 +/–

а caddy чего?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #22

19. Сообщение от Аноним (19), 04-Июн-26, 16:01 –1 +/–

За исключением крупняка из топ-500, HTTP/2 и тем более QUIC, абсолютно не нужны. Даже более - из-за чрезмерного усложнения протоколов остальному интернету сильно вредны (security + возрастание энтропии посредством бесполезного подогрева вселенной)

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #24, #32, #40

20. Сообщение от Аноним (12), 04-Июн-26, 16:01 +5 +/–

Нужен новый язык, обнаруживающий выход за пределы доступной процессу памяти.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #52

22. Сообщение от Аноним (5), 04-Июн-26, 16:02 +/–

Незаметен:
https://www.netcraft.com/blog/march-2026-web-server-survey

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

23. Сообщение от Аноним (23), 04-Июн-26, 16:02 +/–

Можно. Тебе нужно, ты и делай

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

24. Сообщение от Аноним (18), 04-Июн-26, 16:05 +1 +/–

> посредством бесполезного подогрева вселенной
а если фотоны пролетят мимо Земли, то они подогреют вселенную очень полезно, ага

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #28

28. Сообщение от 12yoexpert (ok), 04-Июн-26, 16:11 +/–

ты забываешь про АЭС, а через 20 лет будет готов управляемый термояд

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #33, #34

30. Сообщение от BratishkaErik (ok), 04-Июн-26, 16:11 +/–

https://blog.calif.io/p/codex-discovered-a-hidden-http2-bomb
> Credits:
> * Quang Luong for discovering the exploit. He'll be presenting his techniques at the upcoming Real World AI Security conference at Stanford in June.
> * Jun Rong and Duc Phan for confirming the attack on other web servers.
Нашли с помощью Codex.

Ответить | Правка | Наверх | Cообщить модератору

32. Сообщение от Аноним (32), 04-Июн-26, 16:12 +/–

о, местная икспертиза подъехала

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #36

33. Сообщение от Аноним (18), 04-Июн-26, 16:16 –1 +/–

хахаха, этой мантре уже лет 40, собственно, энергия звезд она одна, панелькой солнечной ловить фотоны свежие или в недрах планеты находить тяжелые элементы, которые остатки прошлых звезд, значения не имеет. управляемый термояд, ну мб, тогда энергия водорода, который еще собрать надо, или не надо, можно подождать пока сам в звезду завернется.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #37, #39

34. Сообщение от Аноним83 (?), 04-Июн-26, 16:17 –1 +/–

Он уже лет 60 как будет готов через 20 лет :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

35. Сообщение от Ilya Indigo (ok), 04-Июн-26, 16:17 +1 +/–

Вот только без HTTP2 (вам же нужно мультиплексирование, иначе зачем вам тогда HTTP3) ваш HTTP3 физически работать НЕ может! Сам HTTP3 НЕ может без HTTP2 сообщать клиенту что он есть! Вот такой прекрасный протокол!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

36. Сообщение от Аноним (18), 04-Июн-26, 16:18 +1 +/–

ну хоть тут можно говорить что вздумается, пока еще

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32

37. Сообщение от 12yoexpert (ok), 04-Июн-26, 16:19 +/–

> значения не имеет
имеет, попробуй подумать

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33 Ответы: #48

39. Сообщение от Аноним (7), 04-Июн-26, 16:21 +/–

Ну как бы токомак уже запустили на 20 минут, пару лет назад рекорд был полторы минуты.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33 Ответы: #43, #44

40. Сообщение от Аноним83 (?), 04-Июн-26, 16:22 +/–

HTTP/2 и тем более QUIC очень нужен тем кто как гугл берёт деньги за якобы показ рекламы.
С ними всегда можно сказать: тут юзер пробегал мимо, мы ему вашу рекламу показали, мамой клянёмся - вот же UDP отправили!
А спрашивал юзер или у него банерорезалка всё порезала - не важно, ведь мы ему заранее всё самое нужное теперь отправить можем!
Кто то в гугле на этом не одну яхту себе купил.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

41. Сообщение от Аноним (41), 04-Июн-26, 16:24 +/–

Надо было останавливаться на HTTP/1.0.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #45, #57, #76

42. Сообщение от Аноним (42), 04-Июн-26, 16:29 +/–

> Раст такое не ловит.
Ну началось...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

43. Сообщение от Аноним83 (?), 04-Июн-26, 16:54 –1 +/–

А вас не смущает что и токомак и ядерный реактор выдают не электричество а тепло?
Я намекаю что и то и другое не шибко практичное, и надо было не тратить 80% усилий на допил ядерного реактора до токомака а заниматся научными изысканиями в другую сторону.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #47, #55

44. Сообщение от Аноним (18), 04-Июн-26, 16:55 –1 +/–

и? то что они там плазму удержали не значит что эффект был, а сколько времени пройдет прежде чем начнут их штамповать на конвеере, да и с учетом дегобализации начнут ли?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #60, #75

45. Сообщение от Аноним83 (?), 04-Июн-26, 16:56 +/–

1.0 неудобен, там connection: close всегда по стандарту.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

47. Сообщение от Аноним (7), 04-Июн-26, 16:58 +/–

В Cloverfield уже обыграли, к чему это приводит. :>

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43

48. Сообщение от Аноним (18), 04-Июн-26, 17:01 –1 +/–

энергия вселенной есть константа, закон сохранения энергии есть база, в контексте "бессмысленого обогрева" вселенной значения что и как вы в этой вселенной будете делать не имеет абсолютно никакого, поскольку любое действие именно подогревом вселенной и является.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37 Ответы: #67

49. Сообщение от жявамэн (ok), 04-Июн-26, 17:02 +/–

ну что caddy как обычно лучший веб сервер

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #64

52. Сообщение от Смузихеб забывший пароль (?), 04-Июн-26, 17:07 +/–

наверняка что-то подобное есть
в том же яблочном Obj-C целое событие имелось, которое система "дёргала" когда свободной ОЗУ оставалось мало, чтобы процессы выкинули все не нужные на текущий момент данные из памяти для её освобождения

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

55. Сообщение от Смузихеб забывший пароль (?), 04-Июн-26, 17:18 –1 +/–

дело даже не в тепле, а в том, как ту энергию конкретно с термояда снимать
одним из вариантов ещё советских времён был МГД-генератор, там плазма стенок не касалась но КПД "так себе"
Температура плазмы такова, что вполне испарит поверхность теплообменника прежде, чем тот успеет прогреться
А нейтронное излучение не позволяет длительно снимать даже фотонное излучение, т.к оптика мутнеет, а камера д.б герметичной - т.е просто дырку через которую идёт свет не сделать.
Конструкции в общем становятся радиоактивными от нейтронов. Многие - охрупчиваются. А ведь обещали полную радиационную безопасность "ввиду отсутствия применения изотопов".
Только подумать, сколько за последние десятилетия "учёные" и "академики" с умным видом на этой хрени грантов и финансирования распилили

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43 Ответы: #58

56. Сообщение от Аноним (56), 04-Июн-26, 17:18 Скрыто ботом-модератором –2 +/–

>>добиться отказа в обслуживании через исчерпание всей доступной процессу памяти. Наличие проблемы подтверждено в HTTP-серверах Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy
>> Идея в том, что запрос может содержать тысячи сжатых заголовков, таких как "Cookie", без прикреплённых данных, каждый из которых в запросе представлен однобайтовой ссылкой в индексе HPACK
> А как же хваленый секуриту раст и его боров чекер?
Опять злобные растоманы опеннетчикам тайком в штаны навалили? Да что ж такое?! Доколе?!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

57. Сообщение от Annonymous (?), 04-Июн-26, 17:27 +/–

>Надо было останавливаться на HTTP/1.0.
1.1 же + websocket, с которым однако как-то больше всё на совести самих использующих.
webpush ещё надо запретить ))

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

58. Сообщение от Аноним (5), 04-Июн-26, 17:30 Скрыто ботом-модератором +/–

>на этой хрени грантов и финансирования распилили
Опа-на турбопатриот себе в штаны накомментировал, ну-ка сколько распилили ?
https://ru.wikipedia.org/wiki/Т-15_(реактор)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

60. Сообщение от Аноним (7), 04-Июн-26, 17:33 +/–

Урана на 200 лет остаётся, нефти на 50. Если энергия может быть получена из более доступных ингредиентов, исследовать такую возможность имеет смысл.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #62, #63

62. Сообщение от Аноним (18), 04-Июн-26, 17:52 +/–

> нефти на 50
хоть видосики на ютубе поглядите, эту сказку придумали еще до того как построили первую тэц, вообще конечно, речь решла о доступной нефте, той которую сразу можно в бочки фасовать и продовать, а той что надо бурить и качать, а еще очищать и бурить очень глубоко.
> Урана на 200
ой сомнительно, на 200 лет, а скорее на 1200 хватит того что сейчас в боеголовках уже добытый и обогащенный.
но вообще то есть торий, его дофига, и он дешевле и безопаснее, но почемуто никому не нужен, китайцы даже предпочитают покупать нефть, новые технологичеые аэс на тории, зачем.
есть гелий-3 которого дофига на Луне, но зачем, летать строить, проще венесуэлу обнести
вобщем, глусти не говорите, энергии на Земле навалом, было бы желание взять, но его нет, а вот устроить очередную войнушку есть, так и живем

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60 Ответы: #65

63. Сообщение от Аноним (63), 04-Июн-26, 17:54 +/–

Тут у каждого девиз "после нас хоть потоп"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60 Ответы: #66

64. Сообщение от Аноним (18), 04-Июн-26, 17:55 +1 +/–

300 мегабайт на соединение в дефолтном конфиге, ну такое себе, 100 соединений и прощай 30гб дорогущей озу.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49 Ответы: #82

65. Сообщение от Аноним (7), 04-Июн-26, 18:03 +/–

Ща бы ютубу верить. Наиболее доступные ресурсы давно исчерпаны, уже пришло время менее доступных. А, значит, дорогих. На 1200 хватит того, что сейчас в бочках и пещерах в виде отработки хранится, но это уже дороже. А торий значительно дороже обойдётся. Да и с U‑232 работать придётся.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #62 Ответы: #77

66. Сообщение от Аноним (18), 04-Июн-26, 18:04 +/–

а что в этом удивительного? мир продолжает катиться в ад, одни там за меньшинства, другие за скрепы, адекваты вдруг стали исчезающим видом.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63

67. Сообщение от 12yoexpert (ok), 04-Июн-26, 18:17 +/–

теперь посмотри на E=mc^2 и попробуй ещё раз

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

69. Сообщение от Аноним (69), 04-Июн-26, 18:36 +/–

> Наличие проблемы подтверждено в ... Cloudflare Pingora в конфигурации по умолчанию.
Нормально так, главный файервол планеты - и тот с проблемами.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #70

70. Сообщение от Аноним (5), 04-Июн-26, 18:42 +1 +/–

Проще задаться вопросом, а какой вообще есть проект без багов или уязвимостей ?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69 Ответы: #71

71. Сообщение от Аноним (69), 04-Июн-26, 18:46 +/–

Такое в суде почему-то не прокатывает: "Кто тут безгрешен? ... ".

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #70 Ответы: #72

72. Сообщение от Аноним (5), 04-Июн-26, 18:56 +/–

>Кто тут безгрешен?
А что поделать, тут с Copy Fail ещё эпопея не закончилась:
https://opennet.ru/65504-kernel

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #71

74. Сообщение от YetAnotherOnanym (ok), 04-Июн-26, 19:04 +/–

> запрос может содержать тысячи сжатых заголовков, таких как "Cookie", без прикреплённых данных, каждый из которых в запросе представлен однобайтовой ссылкой в индексе HPACK, но на сервере требует полноценного выделения памяти под весь заголовок
> директива max_headers, по умолчанию допускающая обработку не более 1000 заголовков
А вообще не выделять сразу память под такой заголовок?

Ответить | Правка | Наверх | Cообщить модератору

75. Сообщение от 12yoexpert (ok), 04-Июн-26, 19:16 +/–

деглобализация существует только в твоей методичке
всем пофиг, что какое-то террористическое государьство с ввп японского суши-бара и уровнем развития Сомали отрезал от мира его же, государьства, государь

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #81

76. Сообщение от Аноним (5), 04-Июн-26, 19:27 +/–

https://opennet.ru/52129-http

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #79

77. Сообщение от Аноним (18), 04-Июн-26, 19:31 +/–

> Ща бы ютубу верить
не верьте, но на иных площадках написано ровно тоже самое, конечно можно не верить и им, но тогда придется ехать в библиотеку и лично смотреть эти документы, не настолько оно надо.
> Наиболее доступные ресурсы давно
ага, именно поэтому человечечтво позволяет себе покупать компании выпускающие игры за миллиарды, тратить миллиарды на сериалы, на борьбу с проклятым ютубом, покупая за миллиарды же блогеров. ну ровно потому что ресурсы закончились.
> торий значительно дороже обойдётся
он идет в отработку при добыче урана, его тупо сваливают в кучи потому что девать некуда.
> Да и с U‑232
плутоний нужен для активации, это дорого, но зато не надо никаких стержней, а аварийная кнопка загасит реактор за секунду, да и оно в принципе не может рвануть, если конечно плутония критичискую массу не набрать.
это не дорого, это безопасно, едиственный минус этой технологии - она исключительно гражданская, в реакторе не нарабатывается плутоний, а наоборот расходуется, и ядерку потом из этого не собрать.
разумеется, если контролировать каждый грамм тория как положено при работе с радиоактивными материалами, уровень перевозок, компетенцию персонала с соответсвующими зарплатами, то это не дешево, но и не дороже чем обычная аэс, просто гос-ву это не нужно, еще один обьект с вооруженной охранной собственным пво...нафига, а вдруг чего, а тебе потом оправдываться, а так нефть прольется и всем пофиг.
> Наиболее доступные ресурсы давно исчерпаны
наиболее вкусных и слабых разумеется сьели до нас, вот только это не является фактом для нас, потому что еще более вкусных и слабых сьели до тех кто был до нас. Общеизвестно , что раньше было лучше, и трава зеленее, и деревья выше, и климат мягче, и воздух чище, и пиво вкуснее, а еще раньше среди людей запросто можно было встретить богов (в греции), а еще раньше люди вообще жили в раю..
пофиг вообще, это не является фактом реальности, бизонов в америке истребили, это факт, а исчерпаность/исчерпаемость нефти это мнение, потому что на заправках в баки чтото льют, и оно потом фр-фр и едет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65

78. Сообщение от Аноним (78), 04-Июн-26, 19:34 –1 +/–

А если нет разницы, то зачем прогибаться под корпоРАСТов?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

79. Сообщение от Аноним (41), 04-Июн-26, 19:43 +/–

Забавно смотреть подобные графики когда всё связанное с интернетом тормозит и замедляется ещё сильнее с каждой новой технологией.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #76

81. Сообщение от Аноним (18), 04-Июн-26, 19:52 +/–

а причем тут? ввп, англия из ес вышла потому что что? а китайскся война трампа это тоже ввп?
трамп запретил нвидии продавать видюхи в китай, китай начал делать свои, кривые косые, вот буквально на днях новость была, первая китайская видюха сертифицированная под винду.
мы являемся свидетелями раскола, теперь будут европейско/американские видяхи и игры, а будут китайские игры и оптимизированные под них видяхи, это деглобализация, ввп тут исключительно сбоку всторонке постоять.
> деглобализация существует только в твоей методичке
у любого обьекта есть характерный размер, у звезд и галактик, у динозавров и представь себе у рынков тоже, ситиуция когда 1 завод обеспечивает все человечество чипами, которые больше никто делать не может, это не нормально, и даже если на этот завод не упадет метеорит, и его не затопит цунами, то его владелец соблазнится однажды задрать цены например, привет озу самсунг, да? нвидия, и прочие, вы можете не верить или наоборот верить в заговоры масонов-рептилоидов, но человечество так устроено, если у когото появляется чтото и он не делится, значит будет война, горячая, холодная, информационная мы так живем десятки тысяч лет, более того наши родственники, не самые близкие обезьяны так живут, тоже устраивают войны, мы надаем по шапке им, или они надают по шапке нам, это не имеет никакого значения, но технология будет отжата, или без нее мы вымрем и наше место займут другие, это так работает не зависимо от веры, добра и зла и прочей ерунды, кто победил тот и дрбро, всегда так было.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #75 Ответы: #83

82. Сообщение от q (ok), 04-Июн-26, 20:27 +/–

Если бы это было так, то мы бы видели, как сайты на caddy недоступны 95% времени. Но поскольку это не так, то можно сказать с уверенностью, что с фантазией у тебя всё в порядке 👍

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64

83. Сообщение от 12yoexpert (ok), 04-Июн-26, 20:31 +/–

очевидно, никто не будет читать твоё ctrl+c/ctrl+v из методички

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #81

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2026 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Аноним (1), 04-Июн-26, 15:33	–3 +/–
>добиться отказа в обслуживании через исчерпание всей доступной процессу памяти. Наличие проблемы подтверждено в HTTP-серверах Cloudflare Pingora в конфигурации по умолчанию А как же хваленый секуриту раст и его боров чекер?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #3, #5, #7, #56

2. Сообщение от НяшМяш (ok), 04-Июн-26, 15:45	–8 +/–
Мертворождённый протокол. Не зря гугл быстро прыгнул делать QUIC/HTTP3.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #8, #9, #12, #35

3. Сообщение от User (??), 04-Июн-26, 15:46 Скрыто ботом-модератором	+1 +/–
Дело не в расте, а в самой логике HTTP/2, по-сути ошибка (неопределённость) в самом стандарте. PS не фанатик ржавого.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

4. Сообщение от Stanislavvv (ok), 04-Июн-26, 15:48	+1 +/–
Тут логическая ошибка — требуется выделять память под заголовки, которых тупо дохера и без лимита. Раст такое не ловит. А если таки будет ловить просто компилятором без иишки — постараюсь на него перейти. UPD: странный глюк сайта — я нажимал ответить на коммент, а не что-то там.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #20, #42, #78

5. Сообщение от Аноним (5), 04-Июн-26, 15:50	+/–
Тут не просто утечка, а атака. https://github.com/cloudflare/pingora
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

7. Сообщение от Аноним (7), 04-Июн-26, 15:54 Скрыто ботом-модератором	–1 +/–
Раст никак не защищает от утечек. Только диагностику потерянной памяти более запутанной.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

8. Сообщение от Аноним (5), 04-Июн-26, 15:54	+/–
https://blog.cloudflare.com/quic-death-spiral-fix/
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

9. Сообщение от 12yoexpert (ok), 04-Июн-26, 15:54	+4 +/–
и QUIC/HTTP3 юзерам тоже не нужен, UX на гигабайтных гугловых жс-помойках вроде ютуба от этого никак не изменится
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

12. Сообщение от Аноним (12), 04-Июн-26, 15:57	+/–
А можно TCP/HTTP3 ?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #23

16. Сообщение от Doom (??), 04-Июн-26, 15:59	+1 +/–
Вполне нормальное логичное развитие. Даже with-security-in-mind сходу ограничить число заголовков мало кому получится в своем продукте при реализации нового протокола.
Ответить \| Правка \| Наверх \| Cообщить модератору

18. Сообщение от Аноним (18), 04-Июн-26, 16:00	+/–
а caddy чего?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #22

19. Сообщение от Аноним (19), 04-Июн-26, 16:01	–1 +/–
За исключением крупняка из топ-500, HTTP/2 и тем более QUIC, абсолютно не нужны. Даже более - из-за чрезмерного усложнения протоколов остальному интернету сильно вредны (security + возрастание энтропии посредством бесполезного подогрева вселенной)
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #24, #32, #40

20. Сообщение от Аноним (12), 04-Июн-26, 16:01	+5 +/–
Нужен новый язык, обнаруживающий выход за пределы доступной процессу памяти.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #52

22. Сообщение от Аноним (5), 04-Июн-26, 16:02	+/–
Незаметен: https://www.netcraft.com/blog/march-2026-web-server-survey
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #18

23. Сообщение от Аноним (23), 04-Июн-26, 16:02	+/–
Можно. Тебе нужно, ты и делай
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12

24. Сообщение от Аноним (18), 04-Июн-26, 16:05	+1 +/–
> посредством бесполезного подогрева вселенной а если фотоны пролетят мимо Земли, то они подогреют вселенную очень полезно, ага
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19 Ответы: #28

28. Сообщение от 12yoexpert (ok), 04-Июн-26, 16:11	+/–
ты забываешь про АЭС, а через 20 лет будет готов управляемый термояд
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #24 Ответы: #33, #34

30. Сообщение от BratishkaErik (ok), 04-Июн-26, 16:11	+/–
https://blog.calif.io/p/codex-discovered-a-hidden-http2-bomb > Credits: > * Quang Luong for discovering the exploit. He'll be presenting his techniques at the upcoming Real World AI Security conference at Stanford in June. > * Jun Rong and Duc Phan for confirming the attack on other web servers. Нашли с помощью Codex.
Ответить \| Правка \| Наверх \| Cообщить модератору

32. Сообщение от Аноним (32), 04-Июн-26, 16:12	+/–
о, местная икспертиза подъехала
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19 Ответы: #36

33. Сообщение от Аноним (18), 04-Июн-26, 16:16	–1 +/–
хахаха, этой мантре уже лет 40, собственно, энергия звезд она одна, панелькой солнечной ловить фотоны свежие или в недрах планеты находить тяжелые элементы, которые остатки прошлых звезд, значения не имеет. управляемый термояд, ну мб, тогда энергия водорода, который еще собрать надо, или не надо, можно подождать пока сам в звезду завернется.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #28 Ответы: #37, #39

34. Сообщение от Аноним83 (?), 04-Июн-26, 16:17	–1 +/–
Он уже лет 60 как будет готов через 20 лет :)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #28

35. Сообщение от Ilya Indigo (ok), 04-Июн-26, 16:17	+1 +/–
Вот только без HTTP2 (вам же нужно мультиплексирование, иначе зачем вам тогда HTTP3) ваш HTTP3 физически работать НЕ может! Сам HTTP3 НЕ может без HTTP2 сообщать клиенту что он есть! Вот такой прекрасный протокол!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

36. Сообщение от Аноним (18), 04-Июн-26, 16:18	+1 +/–
ну хоть тут можно говорить что вздумается, пока еще
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #32

37. Сообщение от 12yoexpert (ok), 04-Июн-26, 16:19	+/–
> значения не имеет имеет, попробуй подумать
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #33 Ответы: #48

39. Сообщение от Аноним (7), 04-Июн-26, 16:21	+/–
Ну как бы токомак уже запустили на 20 минут, пару лет назад рекорд был полторы минуты.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #33 Ответы: #43, #44

40. Сообщение от Аноним83 (?), 04-Июн-26, 16:22	+/–
HTTP/2 и тем более QUIC очень нужен тем кто как гугл берёт деньги за якобы показ рекламы. С ними всегда можно сказать: тут юзер пробегал мимо, мы ему вашу рекламу показали, мамой клянёмся - вот же UDP отправили! А спрашивал юзер или у него банерорезалка всё порезала - не важно, ведь мы ему заранее всё самое нужное теперь отправить можем! Кто то в гугле на этом не одну яхту себе купил.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19

41. Сообщение от Аноним (41), 04-Июн-26, 16:24	+/–
Надо было останавливаться на HTTP/1.0.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #45, #57, #76

42. Сообщение от Аноним (42), 04-Июн-26, 16:29	+/–
> Раст такое не ловит. Ну началось...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4

43. Сообщение от Аноним83 (?), 04-Июн-26, 16:54	–1 +/–
А вас не смущает что и токомак и ядерный реактор выдают не электричество а тепло? Я намекаю что и то и другое не шибко практичное, и надо было не тратить 80% усилий на допил ядерного реактора до токомака а заниматся научными изысканиями в другую сторону.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #39 Ответы: #47, #55

44. Сообщение от Аноним (18), 04-Июн-26, 16:55	–1 +/–
и? то что они там плазму удержали не значит что эффект был, а сколько времени пройдет прежде чем начнут их штамповать на конвеере, да и с учетом дегобализации начнут ли?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #39 Ответы: #60, #75