Dostępność / DATA PUBLICZNEGO OGŁOSZENIA
HTTP/2 Rapid Reset: atak na dostępność usług
Wykorzystanie sposobu obsługi strumieni HTTP/2 pozwalało przeciążać usługi i przerywać działanie stron.
Co się wydarzyło?
10 października 2023 roku dostawcy infrastruktury ujawnili problem HTTP/2 znany jako Rapid Reset. Ataki z jego użyciem obserwowano już wcześniej, w 2023 roku. Podatność otrzymała identyfikator CVE-2023-44487.
Atakujący mógł szybko otwierać i anulować strumienie HTTP/2. Wymagało to od niego niewielkich zasobów, a serwer nadal musiał poświęcać czas na ich przetwarzanie. W podatnych implementacjach prowadziło to do znacznego zużycia zasobów i utraty dostępności.
Dlaczego to ważne dla hostingu?
Strona może przestać odpowiadać mimo poprawnego działania jej kodu i bazy danych. W tym przypadku problem dotyczył obsługi protokołu na warstwie serwera lub pośredniczącej infrastruktury. Współdzielone zasoby mogły powodować, że skutki obciążenia odczuwało więcej usług.
Rapid Reset był zagrożeniem dla dostępności. Sam mechanizm nie zapewniał dostępu do danych klientów ani wykonania kodu. Tę różnicę trzeba zachować przy ocenie incydentu i komunikacji z właścicielem strony.
Jak reagowano?
Dostawcy publikowali poprawki i ograniczenia zależne od implementacji. Oceną należało objąć serwer końcowy, reverse proxy oraz ochronę przed DDoS. Działania na jednej warstwie nie zastępowały sprawdzenia pozostałych elementów przyjmujących ruch HTTP/2.
Co to oznacza dla administratora?
Monitoring powinien obejmować czas odpowiedzi, błędy, zużycie zasobów i nietypowy ruch. Przy takim zdarzeniu potrzebne są aktualizacje usług sieciowych i plan ochrony dostępności. Ewentualne wyłączenie protokołu wymaga oceny skutków dla wydajności i działania aplikacji.