<div dir="ltr">Hi all,<div><br></div><div>Over the past week or so Sysadmin has been dealing with an extremely high volume of traffic directed towards both <a href="http://download.kde.org">download.kde.org</a> and <a href="http://distribute.kde.org">distribute.kde.org</a>.</div><div><br></div><div>This traffic volume is curious in so far that it is directed at two paths specifically:</div><div>- <a href="http://distribute.kde.org/khotnewstuff/fonts-providers.xml">distribute.kde.org/khotnewstuff/fonts-providers.xml</a></div><div>- <a href="http://download.kde.org/ocs/providers.xml">download.kde.org/ocs/providers.xml</a></div><div><br></div><div>The first path is an "internal only" host which we were redirecting a legacy path to prior to the resource being relocated to <a href="http://cdn.kde.org">cdn.kde.org</a>. The second path has been legacy for numerous years now (more than 5) and is replaced by <a href="http://autoconfig.kde.org">autoconfig.kde.org</a>.</div><div>It is of extreme concern that these paths are still in use - especially the ocs/providers.xml one.</div><div><br></div><div>The volume of traffic has reached an extent that to prevent the server disk filling up we have had to disable logging for those two sites. Whilst dependent on the time of day the server is currently dealing with the current volume of requests, which is far outside normal specifications:</div><div><br></div><div><dt>555 requests/sec - 4.5 MB/second - 8.3 kB/request - .739199 ms/request</dt><br></div><div><br></div><div>Analysis of a fragment of logs (comprising just a few minutes of traffic) reveals the following:</div><div><br></div><div>     63 "GET /ocs/providers.xml HTTP/1.1" 301 6585 "-" "KNewStuff/5.89.0-discoverupdate/5.23.5"<br>     64 "GET /ocs/providers.xml HTTP/1.1" 301 6585 "-" "KNewStuff/5.89.0-discoverupdate/5.23.4"<br>    104 "GET /ocs/providers.xml HTTP/1.1" 301 6585 "-" "KNewStuff/5.90.0-discoverupdate/5.23.90"<br>    105 "GET /ocs/providers.xml HTTP/1.1" 301 6585 "-" "KNewStuff/5.88.0-discoverupdate/5.23.5"<br>   1169 "GET /ocs/providers.xml HTTP/1.1" 301 6585 "-" "KNewStuff/5.86.0-plasma-discover-update/"<br>   1256 "GET /ocs/providers.xml HTTP/1.1" 301 6585 "-" "KNewStuff/5.90.0-discoverupdate/5.23.5"<br>   2905 "GET /ocs/providers.xml HTTP/1.1" 301 6585 "-" "Mozilla/5.0"<br></div><div><br></div><div>     86 "GET /khotnewstuff/fonts-providers.xml HTTP/1.1" 200 6773 "-" "Mozilla/5.0"<br>    130 "GET /khotnewstuff/fonts-providers.xml HTTP/1.1" 304 6132 "-" "KNewStuff/5.89.0-discoverupdate/5.23.5"<br>    136 "GET /khotnewstuff/fonts-providers.xml HTTP/1.1" 304 6132 "-" "KNewStuff/5.89.0-discoverupdate/5.23.4"<br>    197 "GET /khotnewstuff/fonts-providers.xml HTTP/1.1" 304 6132 "-" "KNewStuff/5.88.0-discoverupdate/5.23.5"<br>    199 "GET /khotnewstuff/fonts-providers.xml HTTP/1.1" 304 6132 "-" "KNewStuff/5.90.0-discoverupdate/5.23.90"<br>   2624 "GET /khotnewstuff/fonts-providers.xml HTTP/1.1" 304 6132 "-" "KNewStuff/5.86.0-plasma-discover-update/"<br>   2642 "GET /khotnewstuff/fonts-providers.xml HTTP/1.1" 304 6132 "-" "KNewStuff/5.90.0-discoverupdate/5.23.5"<br>   6117 "GET /khotnewstuff/fonts-providers.xml HTTP/1.1" 304 6132 "-" "Mozilla/5.0"</div><div><br></div><div>This indicates that the bug lies solely within Plasma's Discover component - more precisely it's updater.</div><div><br></div><div>Examining the origin of these requests has indicated that some clients are making requests to these paths well in excess of several times a minute with a number of IP addresses appearing more 60 times in a 1 minute sized sample window.</div><div><br></div><div>Given that Sysadmin has raised issues with this component and it's behaviour in the past, it appears that issues regarding the behaviour of the OCS componentry within Discover remain unresolved.</div><div><br></div><div>Due to the level of distress this is causing our systems, I am therefore left with no other option other than to direct the Plasma Discover developers to create and release without delay patches for all versions in support, as well as for all those currently present in any actively maintained distributions, that disable all OCS functionality in the Discover updater. Distributions are requested to treat these patches as security patches and to distribute them to users without delay.</div><div><br></div><div>In 24 hours time Sysadmin will be making a posting to kde-announce requesting that users immediately cease use of the Discover update client as it is creating a Denial of Service attack on our infrastructure.</div><div><br></div><div>Regards,</div><div>Ben Cooksley</div><div>KDE Sysadmin</div></div>