HTTP/2: Nowa Podatność Zagraża Całemu Internetowi

Uwaga Administratorzy: Wasze Serwery Mogą Być Zagrożone!

Jeśli myśleliście, że to będzie spokojny tydzień, to mam złe wieści. Badacze bezpieczeństwa właśnie ujawnili nową, potencjalnie katastrofalną w skutkach podatność w protokole HTTP/2. Nazwano ją „CONTINUATION Flood” (oznaczenie CVE-2025-43177) i wygląda na to, że może ona narobić sporo zamieszania.

Jak Działa Atak „CONTINUATION Flood”?

W dużym skrócie, protokół HTTP/2, który napędza znaczną część nowoczesnego internetu, ma pewną niedoskonałość. Atakujący może wysłać na serwer serię specjalnie spreparowanych pakietów (ramek CONTINUATION) bez odpowiedniego zakończenia. Serwer, próbując przetworzyć ten niekończący się strumień danych, zużywa całą dostępną pamięć RAM i moc procesora, co prowadzi do jego zawieszenia się lub całkowitego paraliżu.

Najgorsze jest to, że do przeprowadzenia takiego ataku wystarczy jedno połączenie i jeden komputer. Nie potrzeba armii botnetów, by położyć nawet potężną maszynę. To sprawia, że „CONTINUATION Flood” jest niezwykle groźnym narzędziem do przeprowadzania ataków typu DoS (Denial of Service).

Jak Wygląda Atak Krok po Kroku?

Żeby lepiej zrozumieć, co się dzieje „pod maską”, prześledźmy uproszczony scenariusz ataku. Wyobraźcie sobie rozmowę klienta z serwerem:

1. Nawiązanie połączenia: Atakujący łączy się z serwerem ofiary, używając protokołu HTTP/2. To standardowy, niewinny początek każdej sesji.
2. Wysłanie nagłówków: Atakujący zaczyna wysyłać żądanie, rozpoczynając od ramki HEADERS. To tak, jakby zaczynał list, pisząc adresata. Kluczowy jest tu jednak mały techniczny szczegół: w tej ramce nie ustawia flagi END_HEADERS. To sygnał dla serwera: "Hej, to jeszcze nie wszystkie nagłówki, zaraz wyślę resztę w kolejnych paczkach!".
3. Zalewanie kontynuacjami: Zamiast dokończyć nagłówki, atakujący zaczyna wysyłać nieprzerwany strumień kolejnych ramek – CONTINUATION. Żadna z nich również nie ma flagi END_HEADERS.
4. Wyczerpanie zasobów: Serwer posłusznie odbiera każdą ramkę CONTINUATION, skleja je w pamięci i czeka na sygnał końca, który nigdy nie nadchodzi. Prowadzi to do błyskawicznego wyczerpania pamięci (RAM) i obciążenia procesora do 100%, a w konsekwencji do awarii serwera (crash) i odmowy usługi dla prawdziwych użytkowników.

Cały "geniusz" tego ataku polega na wykorzystaniu legalnej funkcji protokołu w złośliwy sposób, co sprawia, że jest on trudny do wykrycia przez tradycyjne systemy zabezpieczeń.

Kto Jest Podatny?

Problem dotyczy wielu popularnych implementacji protokołu HTTP/2. Na liście zagrożonych technologii znajdziemy między innymi:

• Node.js
• Apache HTTP Server
• Envoy
• Tempesta FW
• I wiele innych bibliotek i serwerów.

Jeśli zarządzasz infrastrukturą webową, istnieje duża szansa, że ten problem dotyczy również Ciebie.

Co Robić? Jak Żyć?

Na szczęście, dostawcy oprogramowania już zareagowali. Dostępne są aktualizacje i łatki, które naprawiają tę krytyczną lukę. Zalecenie jest jedno i jest ono bardzo proste: aktualizujcie swoje oprogramowanie serwerowe natychmiast! Opóźnienie może kosztować Was stabilność usług i sporo nerwów.

Wygląda na to, że czeka nas pracowity okres łatania i zabezpieczania systemów. Trzymajcie rękę na pulsie!

Źródło: BleepingComputer

Aleksander

Zobacz również: Rekordowy atak DDoS wykorzystujący urządzenia IoT oraz Kompleksowy przewodnik po lukach zero-day.