HTTP/2 停滯流量控制可拖垮 server：Apache、Citrix、F5 修補清單

iThome 報道，CERT/CC 喺 7 月 16 日公開一批同 HTTP/2 流量控制有關嘅 DoS 漏洞，涉及 Apache Traffic Server、Citrix NetScaler 同 F5 BIG-IP 等產品。攻擊者毋須帳戶，只要連到公開服務，就有機會用特製請求逐步食盡 RAM、連線或者 worker 資源。暫時未見官方資料話漏洞已經俾人實際利用，所以而家重點係盤點同修補，未到要當成大規模攻擊處理。

合法流量控制都可以俾人玩殘

HTTP/2 容許一條連線同時開多條 stream，接收端亦可以用 flow-control window 話畀 server 知自己仲收得落幾多資料。客戶端宣告 SETTINGS_INITIAL_WINDOW_SIZE = 0，或者一直唔送 WINDOW_UPDATE，server 就要暫停傳送；呢套機制本身係正常設計，用嚟避免接收端俾大量資料塞爆。

問題出喺部分實作見到傳送停咗，後端仍然照計算同產生完整回應，再將未送得出嘅內容留喺 RAM。攻擊者同時開好多條 stream，再要求大型檔案，呢批 buffer 就可以一路疊上去，直至連線逾時或者系統冇資源。IETF HTTP Working Group 喺 CERT/CC 公告入面亦表明，HTTP/2 規格容許開發團隊限制資源同中止異常連線；今次係個別產品欠缺有效上限，唔代表所有行 HTTP/2 嘅網站都有漏洞。

Apache Traffic Server：兩條版本線都要升級

Apache 將問題列為 CVE-2026-59173，嚴重程度係 Important。受影響範圍係 Traffic Server 9.0.0 至 9.2.13，同 10.0.0 至 10.1.2；9.x 要升到 9.2.14 或之後版本，10.x 就要升到 10.1.3 或之後版本。修正會硬性執行 proxy.config.http2.max_active_streams_in，超出上限嘅 stream 會收到 REFUSED_STREAM，唔再只當個設定係參考數字。

未能即刻升級嘅環境，可以先收緊同時 stream 數量、連線逾時同整體 RAM 上限，再監察單一 HTTP/2 連線嘅 buffer 增長。不過舊版 Traffic Server 未有硬性執行 stream 上限，淨係改 max_active_streams_in 唔應當成完整修補。如果前面仲有 CDN 或另一層 reverse proxy，亦要確認真正終止 HTTP/2 嗰層有冇擋住細視窗兼長時間停滯嘅連線。

NetScaler：升完級仲要睇 HTTP Profile

NetScaler ADC 同 NetScaler Gateway 要先確認 HTTP/2 有冇開啟，同個 HTTP Profile 有冇掛喺 LB、CS、VPN 類 virtual server 或相關 service。廠商公告列出嘅修正版包括 14.1-72.61、13.1-63.18、14.1-FIPS 14.1-72.61 FIPS，同 13.1-FIPS／13.1-NDcPP 13.1.37.272，各版本線都以呢啲 build 或之後版本為準。

最易中伏係以為升完級就搞掂。新 firmware 加咗 Http2SmallWndTimeout：用 HTTP Strict Profile 嘅設備預設係 30 秒，升級後修正會即時生效；其他 HTTP Profile 預設值係 0，單升 firmware 仍然未完整處理風險，管理員要用 set ns httpProfile <profile_name> -http2SmallWndTimeout 30 手動設成 30 秒。改完亦要逐個檢查實際掛載緊嘅 profile，避免只更新咗冇流量經過嗰份設定。

F5 BIG-IP：先找出有 HTTP/2 Profile 嘅 virtual server

F5 將相關問題編為 CVE-2026-59762。一般 BIG-IP 受影響範圍係 17.1.0 至 17.1.3.4 之前、17.5.0 至 17.5.1.8 之前、21.0.0 至 21.0.0.3 之前，同 21.1.0 至 21.1.0.1 之前。用戶要按自己所屬版本線，升到前面列出嘅修正版或更新版本。觸發條件係 virtual server 配置咗 HTTP/2 Profile；惡意請求會令 TMM 食多咗 RAM，最差情況要重啟 TMM，影響集中喺 data plane，control plane 冇暴露。

F5 公告另有 BIG-IP Next for Kubernetes、SPK 同 CNF 嘅獨立版本表，唔好將傳統 BIG-IP 嘅修正版直接套落 Next 產品。等候維護窗口期間，傳統 BIG-IP 可以按廠商指引建立開啟 Slow Flow Monitoring 嘅自訂 eviction policy，再掛到相關 virtual server 作暫時緩解。公司 IT 團隊、網站管理員同託管服務商，應先列出真正終止 HTTP/2 嘅 reverse proxy、ADC 同負載平衡設備，再逐部核對版本同設定。見到 CERT/CC 個總表有三個 CVE，亦唔代表三個編號全部適用於同一部設備。

參考來源

• iThome — HTTP/2伺服器存在流量控制漏洞恐引發DoS攻擊，影響Apache Traffic Server、Citrix、F5 — original report
• CERT/CC VU#885548 — 漏洞機制、披露時間、廠商狀態同各產品處理資料
• Apache：CVE-2026-59173 Security Advisory — Apache 官方公告副本，列明受影響版本、嚴重程度同升級目標
• NetScaler ADC and NetScaler Gateway Security Bulletin — NetScaler 修正版、觸發條件同 Http2SmallWndTimeout 設定指引
• F5 K000162231：BIG-IP HTTP/2 vulnerability — F5 官方產品公告同修補、緩解指引
• NVD：CVE-2026-59762 — 核對 BIG-IP 各版本線、BIG-IP Next 產品範圍同漏洞影響

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。