6.2. 已知问题

CVE-2023-44487 HTTP/2: 启用多个 HTTP/2 的 Web 服务器会受到 DDoS 攻击(Rapid Reset Attack)的影响

在处理 HTTP/2 协议中的多路流中发现了一个安全漏洞，它被 Migration Toolkit for Applications (MTA)使用。客户端可以重复请求新的多路流，然后立即发送 RST_STREAM 帧来取消这些请求。对于设置和分离流，这个活动会为服务器创建额外的工作负载，但避免了每个连接的最大活跃流数量的服务器端限制。这会导致因为服务器的资源被耗尽而出现拒绝服务的问题。

CVE-2023-39325: 启用多个 HTTP/2 的 Web 服务器会受到 DDoS 攻击（使用 Go 语言软件包中的Rapid Reset Attack）

HTTP/2 协议易受拒绝服务攻击的影响，因为请求可以快速重置多个流。服务器需要在没有达到每个连接的最大活跃流数量在服务器端的限制的情况下，设置和处理流。这会导致因为服务器的资源被耗尽而出现拒绝服务的问题。

如果自定义规则目录的名称中有空格，应用程序分析会失败

在配置应用分析期间，如果用户使用 CLI 从存储库获取自定义规则，且根路径中包含空格，CLI 命令不会被正确生成，分析会失败。用户必须确保，使用自定义规则的目录名称中没有空格。