Netty - это сетевая система приложений для разработки протокольных серверов и клиентов. NoQuicTokenHandler - это токенОбработчик, используе…

Netty - это сетевая система приложений для разработки протокольных серверов и клиентов. NoQuicTokenHandler - это токенОбработчик, используемый, когда приложение не устанавливает его. До версии 4.2.15.Final его writeToken() возвращает ложные (сервер не будет отправлять Retry — приемлемо), но validateToken() безоговорочно `return 0`. В QuicheQuicServerCodec.handlePacket() неотрицательный возврат от validateToken() интерпретируется как «токен действителен, ODCID запускается с зачета 0», в результате чего сервер вызывает quiche_accept, как если бы адрес клиента был подтвержден повторным отправленным туда-обратно. В соответствии с RFC 9000 §8.1, проверенный адрес снимает 3-кратный анти-усилениельный лимит отправки. Таким образом, любой злоумышленник, который включает ЛЮБЫЕ непустые байты токенов в пакете Initial - с поддельным источником жертвы IP - заставляет сервер Netty рассматривать жертву как проверенную и отражать полноразмерные полеты рукопожатия (сертификаты и т. Д.) К нему без 3× крышки. Правильная семантика «без токенов» заключалась бы в том, чтобы вернуться -1 (недействителен), поэтому применяется нормальный непроверенный путь и предел усиления. Версия 4.2.15.Final латирует проблему.