Ontem, Google, Cloudflare e AWS revelaram uma nova vulnerabilidade de dia zero chamada "ataque HTTP/2 Rapid Reset".
Este ataque, que já está ocorrendo na prática, se baseia em uma fragilidade no protocolo HTTP/2 para realizar ataques de negação de serviço distribuídos em larga escala, conhecidos como ataques DDoS "hiper volumétricos".
Grandes provedores de nuvem, como Cloudflare, AWS e Google, têm enfrentado desafios nos últimos meses devido a esses ataques, alguns dos quais atingiram a incrível marca de 200 a quase 400 milhões de solicitações por segundo.
O Google Cloud relatou um recorde de 398 milhões de solicitações por segundo como resultado desse ataque, agora denominado ataque HTTP/2 Rapid Reset.
A vulnerabilidade foi detalhada no blog do Google Cloud. O ataque HTTP/2 Rapid Reset funciona da seguinte forma: o protocolo HTTP/2 permite que os clientes indiquem ao servidor que um fluxo anterior deve ser cancelado enviando um quadro RST_STREAM. No entanto, o protocolo não exige coordenação entre cliente e servidor para o cancelamento, permitindo que o cliente o faça unilateralmente. Além disso, o cliente pode assumir que o cancelamento terá efeito imediato, antes que o servidor processe quaisquer outros dados da conexão TCP.
O ataque é chamado de Rapid Reset porque explora a capacidade de um endpoint enviar imediatamente um quadro RST_STREAM após enviar um quadro de solicitação. Isso faz com que o outro endpoint inicie o processamento e, em seguida, redefina rapidamente a solicitação, cancelando-a, mas mantendo a conexão HTTP/2 aberta.
No ataque HTTP/2 Rapid Reset, o cliente abre um grande número de fluxos simultaneamente, sem esperar por uma resposta a cada solicitação do servidor ou proxy. Em vez disso, o cliente cancela imediatamente cada solicitação. A capacidade de redefinir fluxos imediatamente permite que cada conexão tenha um número indefinido de solicitações em andamento. Ao cancelar explicitamente as solicitações, o invasor nunca ultrapassa o limite do número de fluxos abertos simultaneamente. Isso cria uma assimetria de custos explorável entre o servidor e o cliente.
Para obter mais detalhes sobre o HTTP2 Rapid Reset, consulte o blog da Cloudflare.
Até a próxima !!
Nenhum comentário:
Postar um comentário