CVE-2023-45288
— 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Go 标准库 `net/http` 存在 HTTP/2 协议处理缺陷。
💥 **后果**：攻击者发送过量 **CONTINUATION 帧**，导致服务端无限制读取标头数据，引发资源耗尽或拒绝服务。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：HTTP/2 连接控制逻辑。
⚠️ **CWE**：数据未提供具体 CWE ID，但属于协议实现中的**资源限制缺失**，未能有效遏制恶意帧流。
Q3影响谁？（版本/组件）
📦 **组件**：Google Go 标准库。
🏷️ **模块**：`net/http`。
👥 **受影响者**：所有使用 Go 构建 HTTP/2 服务端的应用程序。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：通过 **CONTINUATION Flood** 攻击。
📉 **影响**：消耗服务端内存/CPU，导致 **DoS（拒绝服务）**，可能使服务不可用。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：中等。
🔑 **认证**：通常无需认证，直接利用 HTTP/2 协议特性。
⚙️ **配置**：需服务端启用 HTTP/2 且未打补丁。
Q6有现成Exp吗？（PoC/在野利用）
💻 **PoC 存在**：是。
🔗 **链接**：GitHub 上有现成 PoC（如 `0xCuteSocks/cve-2023-45288` 和 `hex0punk/cont-flood-poc`）。
🌍 **在野**：数据未明确提及大规模在野利用，但 PoC 已公开。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 检查 Go 版本是否包含漏洞。
2. 监控 HTTP/2 连接中的 **CONTINUATION 帧** 频率。
3. 使用提供的 PoC 进行安全测试（仅限授权环境）。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：是。
📅 **发布时间**：2024-04-04。
🔗 **参考**：Go 官方公告及 `pkg.go.dev/vuln/GO-2024-2687` 已发布修复建议。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. **升级** Go 到修复版本。
2. 若无补丁，配置 WAF 或网关**限制 HTTP/2 帧速率**。
3. 暂时禁用 HTTP/2，回退至 HTTP/1.1。
Q10急不急？（优先级建议）
⚡ **优先级**：高。
📢 **建议**：立即检查 Go 版本，尽快升级标准库以修复 `net/http` 模块，防止被利用进行 DoS 攻击。