OSSN/OSSN-0008

针对 noVNC 服务器的 DoS 风格攻击可能导致服务中断或破坏

总结

目前，单个用户可以建立的 noVNC 或 SPICE 控制台会话数量没有限制。控制台主机资源有限，攻击者启动大量会话可能会耗尽可用资源，从而导致拒绝服务 (DoS) 状况。

受影响的服务 / 软件

Horizon, Nova, noVNC 代理, SPICE 控制台, Grizzly, Havana

讨论

当前，使用单个用户令牌时，不会对可以建立的 noVNC 或 SPICE 控制台会话的数量或频率进行任何限制。虽然用户只能访问自己的虚拟机实例，但通过创建过多的并发控制台会话，可能会耗尽控制台代理主机上的资源。这可能导致使用相同控制台代理的实例的后续连接请求超时。这不仅会阻止用户访问自己的实例，还会使其他合法用户无法访问控制台。此外，在 noVNC 代理和计算主机上运行的其他服务可能会降低响应速度。

通过利用 noVNC 或 SPICE 控制台连接缺乏限制的漏洞，单个用户可能会导致控制台代理端点无响应，从而导致拒绝服务 (DoS) 风格的攻击。需要注意的是，这里没有放大效应。

建议的操作

对于当前的稳定 OpenStack 版本 (Grizzly, Havana)，用户需要使用限速代理来覆盖对 noVNC 代理服务的访问，以规避此漏洞。限速是防止 DoS 和暴力破解攻击的常用机制。

例如，如果您使用的是诸如 Repose 之类的代理，请按照以下步骤启用限速功能

• https://repose.atlassian.net/wiki/display/REPOSE/Rate+Limiting+Filter

未来的 OpenStack 版本正在考虑添加限制 noVNC 和 SPICE 控制台连接的功能。

联系方式 / 参考文献

• 作者：Sriram Subramanian, CloudDon
• 作者：Nathan Kinder, Red Hat
• 此 OSSN：https://bugs.launchpad.net/ossn/+bug/1227575
• 原始 LaunchPad Bug：https://bugs.launchpad.net/nova/+bug/1227575
• OpenStack Security ML：openstack-security@lists.openstack.org
• OpenStack Security Group：https://launchpad.net/~openstack-ossg