Атака «HTTP/2 Bomb» с помощью ИИ Codex выводит серверы из строя, занимая до 32 ГБ ОЗУ за секунды

Обнаружен новый метод распределенной атаки отказа в обслуживании (DoS), получивший название «HTTP/2 Bomb», который способен вывести из строя веб-серверы за считанные секунды. Эта техника использует особенности протокола HTTP/2, эксплуатируя сжатие данных и механизм управления потоком.

Ключевые особенности

• Новая техника DoS-атаки, названная «HTTP/2 Bomb»
• Эксплуатирует сжатие данных и механизм управления потоком HTTP/2
• Основные веб-серверы подтверждены как уязвимые

Обнаружение и принцип действия

Новая техника DoS-атаки, способная вывести сервер из строя за секунды с помощью одного компьютера и соединения со скоростью 100 Мбит/с, была выявлена при содействии искусственного интеллекта. Ранее на этой неделе специалисты по кибербезопасности из Calif объявили об обнаружении новой DoS-техники, названной «HTTP/2 Bomb». Для её выявления был задействован программный агент OpenAI* Codex. Исследователи отмечают, что метод сочетает в себе две ранее известные техники DoS-атак на HTTP/2: усиление сжатия HPACK и удержание ресурсов в стиле Slowloris через механизм управления потоком HTTP/2.

Суть атаки заключается в том, что сервер обманом заставляют резервировать большие объёмы памяти, отправляя при этом минимальное количество данных. Злоумышленник эксплуатирует особенность протокола HTTP/2, которая позволяет небольшим запросам расширяться в значительно большие объёмы данных внутри сервера, вынуждая его выделять оперативную память.

Механизм атаки и уязвимые системы

Обычно эта память высвобождается после обработки запроса. Однако злоумышленник использует другую функцию HTTP/2 для поддержания соединения открытым неограниченное время. По мере поступления всё большего числа вредоносных запросов потребление памяти быстро растёт, пока сервер не замедлится и в конечном итоге не выйдет из строя.

По заявлению Calif, эта техника эффективна против HTTP/2-конфигураций основных веб-серверов, таких как NGINX, Apache HTTP Server, Microsoft IIS, Envoy и Cloudflare Pingora. По данным CyberInsider, затронутые продукты «обеспечивают работу значительной части интернета», что указывает на обширность потенциального ущерба. Некоторые поставщики уже выпустили исправления, в то время как другие остаются уязвимыми. Рекомендуется отслеживать обновления для конфигураций серверов.

«Домашний компьютер с соединением 100 Мбит/с может сделать уязвимый сервер недоступным за считанные секунды. В случае с Apache httpd и Envoy один клиент способен занять и удерживать 32 ГБ серверной памяти примерно за 20 секунд», – отмечают исследователи.

Защита и дальнейшие шаги

Также было пояснено, что существующие средства защиты бессильны против «HTTP/2 Bomb». Например, ограничения на общий размер заголовка декодера не работают, поскольку значения заголовков, используемые в атаке, ничтожно малы.

Технические подробности будут опубликованы позднее в этом месяце, однако Calif уже представила рабочий прототип (PoC) атаки.

* — деятельность компании запрещена на территории РФ

Твитнуть