リリースノート

receptor: HTTP/2: 複数の HTTP/2 対応 Web サーバーが DDoS 攻撃 (ラピッドリセット攻撃) からの影響を受ける (CVE-2023-44487)

Migration Toolkit for Containers (MTC) で使用される HTTP/2 プロトコルでの多重化ストリームの処理に不具合が見つかりました。クライアントは、新しい多重化ストリームのリクエストを繰り返し作成し、すぐに RST_STREAM フレームを送信してそれらのリクエストをキャンセルする可能性があります。このアクティビティーにより、ストリームのセットアップと削除に関してサーバーに追加のワークロードが発生しましたが、接続ごとのアクティブなストリームの最大数に関するサーバー側の制限は回避されました。その結果、サーバーリソースの消費によりサービス拒否が発生しました。

CVE-2023-39325: 複数の HTTP/2 が有効な Web サーバーは、DDoS 攻撃に対して脆弱です(Go 言語パッケージの Rapid Reset Attack)。

HTTP/2 プロトコルは、リクエストのキャンセルによって複数のストリームがすぐにリセットされる可能性があるため、サービス拒否攻撃の影響を受けやすくなっています。サーバーは、接続ごとのアクティブなストリームの最大数に関するサーバー側の制限に達しないようにしながら、ストリームをセットアップおよび破棄する必要があります。これにより、サーバーのリソースが消費され、サービス拒否が発生します。

アプリケーションの評価： ドラフトとして保存 すると、期待どおりに機能しません。

Application assessment フォームでは、Save as ドラフト は期待どおりに機能しません。MTA-1024

RHSSO

MTA 6.1.1 のリリースでは、Red Hat Single Sign-On (RH-SSO) バージョン 7.6.3 のリリース後にユーザーが経験した、MTA 6.x の多くの新規インストールが使用できなくなる問題が解決されています。この問題の詳細は、 RHSSO-2514 を参照してください。

カスタム移行ターゲットの作成

管理者とアーキテクトは、カスタムの移行ターゲットを作成および維持し、リポジトリーからカスタムルールを設定できます。このようなカスタム移行ターゲットは、管理者以外のユーザーが使用できます。これにより、組織のアプリケーションポートフォリオ全体に共通する同様のテクノロジーを使用するアプリケーションの分析設定のプロセスが簡素化されます。

リソースの自動タグ付け

MTA は、分析モジュールが分析中に収集したテクノロジースタック情報を使用して、タグを生成し、それらをアプリケーションに自動的に添付します。

HTML および CSV 分析レポートのダウンロード

ユーザーは、アプリケーション分析によって生成された HTML および CSV レポートをダウンロードできます。デフォルトでは、このオプションは無効になっています。Administration ビューの新しい General メニューで有効にすることができます。

評価なしでアプリケーションをレビューする

アーキテクトは、最初に評価を実行しなくてもアプリケーションをレビューできます。デフォルトでは、このオプションは無効になっています。Administration ビューの新しい General メニューで有効にすることができます。

非接続インストールのサポート

MTA は、エアギャップされた OpenShift Container Platform 環境で非接続インストールを完全にサポートします。

ネーミングの変更

わかりやすくするために、MTA ユーザーインターフェイスにある一部のエンティティーとメニューエントリーの名前が変更されています。Administrator ビューと Developer ビューは、それぞれ Administration と Migration に名前が変更されました。Tag Types は、Tag Categories という名前になりました。

receptor: HTTP/2: 複数の HTTP/2 対応 Web サーバーが DDoS 攻撃 (ラピッドリセット攻撃) からの影響を受ける (CVE-2023-44487)

Migration Toolkit for Containers (MTC) で使用される HTTP/2 プロトコルでの多重化ストリームの処理に不具合が見つかりました。クライアントは、新しい多重化ストリームのリクエストを繰り返し作成し、すぐに RST_STREAM フレームを送信してそれらのリクエストをキャンセルする可能性があります。このアクティビティーにより、ストリームのセットアップと削除に関してサーバーに追加のワークロードが発生しましたが、接続ごとのアクティブなストリームの最大数に関するサーバー側の制限は回避されました。その結果、サーバーリソースの消費によりサービス拒否が発生しました。

CVE-2023-39325: 複数の HTTP/2 が有効な Web サーバーは、DDoS 攻撃に対して脆弱です(Go 言語パッケージの Rapid Reset Attack)。

HTTP/2 プロトコルは、リクエストのキャンセルによって複数のストリームがすぐにリセットされる可能性があるため、サービス拒否攻撃の影響を受けやすくなっています。サーバーは、接続ごとのアクティブなストリームの最大数に関するサーバー側の制限に達しないようにしながら、ストリームをセットアップおよび破棄する必要があります。これにより、サーバーのリソースが消費され、サービス拒否が発生します。

カスタムルールディレクトリーの名前にスペースが含まれていると、アプリケーションの分析に失敗する

アプリケーション分析の設定中に、ユーザーが CLI を使用してリポジトリーからカスタムルールをフェッチし、ルートパスにスペースが含まれている場合は、CLI コマンドが正しく設定されず、分析が失敗します。ユーザーは、カスタムルールが取得されるディレクトリーの名前にスペースが含まれていないことを確認する必要があります。