- Регистрация
- Окт 17, 2022
- Сообщения
- 870
- Реакции
- 91
- Награды
- 1
Новая атака типа «отказ в обслуживании» (DoS), получившая название HTTP/2 Bomb, может быть запущена с одной машины и вывести из строя веб-серверы за считанные секунды.
Данная технология работает на стандартных конфигурациях HTTP/2 основных веб-серверов, включая NGINX, Apache HTTP Server, Microsoft IIS, Envoy и Cloudflare Pingora.
Обнаруженная программным агентом Codex компании OpenAI под руководством исследователей из компании Calif, специализирующейся на наступательной безопасности, HTTP/2 Bomb объединяет два ранее известных метода DoS-атаки по протоколу HTTP/2: усиление сжатия HPACK и удержание ресурсов в стиле Slowloris посредством задержки управления потоком HTTP/2.
В совокупности один клиент, подключенный к сети со скоростью 100 Мбит/с, может за считанные секунды израсходовать десятки гигабайт оперативной памяти, вынуждая сервер выделять её, а затем предотвращая её освобождение.
«Домашний компьютер с подключением 100 Мбит/с может сделать уязвимый сервер недоступным за считанные секунды. В случае с Apache httpd и Envoy один клиент может занять и удержать 32 ГБ оперативной памяти сервера примерно за 20 секунд», — говорят исследователи .
Атака HTTP/2 Bomb DoS использует механизм HPACK, применяемый протоколом HTTP/2 для сжатия заголовков, путем вставки заголовка в динамическую таблицу HPACK и многократного обращения к нему через компактное индексированное представление, размер которого может составлять один байт.
В результате один байт, отправленный злоумышленником, может привести к выделению тысяч байтов памяти на стороне сервера, при этом Envoy и Apache httpd демонстрируют наихудшие показатели — 5700:1 и 4000:1 соответственно.
Вторая часть атаки заключается в предотвращении освобождения памяти после завершения запроса. Этого можно достичь, объявляя окно управления потоком нулевого размера. Вместо отправки ответа сервер периодически отправляет крошечные кадры WINDOW_UPDATE, чтобы избежать тайм-аутов.
В этом сценарии запросы никогда не выполняются полностью, и выделенная память продолжает расти, не освобождаясь.
Исследователи из Калифорнии объясняют, что этот подход обходит существующие средства защиты, такие как ограничения на общий размер декодированного заголовка, поскольку значения заголовков, используемые в атаке, очень малы, а усиление происходит за счет внутреннего учета и распределения памяти для каждого заголовка.
При тестировании новой техники DoS-атаки на четыре крупных веб-сервера исследователи получили следующие результаты:
- Envoy 1.37.2 израсходовал 32 ГБ оперативной памяти примерно за 10 секунд.
- Apache httpd 2.4.67 исчерпал 32 ГБ оперативной памяти примерно за 18 секунд.
- nginx 1.29.7 исчерпал 32 ГБ оперативной памяти примерно за 45 секунд.
- IIS (Windows Server 2025) исчерпал 64 ГБ оперативной памяти примерно за 45 секунд.
демонстрационные примеры его использования . уже опубликованы Однако, для нового метода атаки
Источник: Калифорния
Влияние и исправления
Исследователи из Калифорнии подчеркивают, что, хотя ни одна из частей их атаки не была принципиально новой, сочетание этих двух методов имеет значительный эффект.
Они отмечают, что, хотя спецификации алгоритма HPACK сосредоточены на рисках увеличения объема памяти, они не рассматривают, что происходит, когда злоумышленник удерживает выделенную память неограниченно долго с помощью управления потоком HTTP/2.
Однако не все веб-серверы уязвимы для «HTTP/2-бомбы», поскольку для некоторых платформ уже выпущены патчи. Кроме того, определенные пользовательские конфигурации сервера могут обеспечить косвенную защиту от атаки.
Например, системы, работающие за CDN или обратными прокси-серверами, не предоставляют доступ к уязвимой конечной точке HTTP/2 и их сложнее атаковать. Кроме того, в некоторых развертываниях уже могут быть установлены пользовательские ограничения на количество заголовков, WAF, обратные прокси-серверы или отключен HTTP/2.
Проблема была исправлена в версии nginx 1.29.8, где была добавлена директива 'max_headers', а также в Apache httpd mod_http2 2.0.41, где проблеме был присвоен идентификатор CVE-2026-49975.
На момент написания статьи патчи для IIS, Envoy и Pingora отсутствуют. На этих веб-серверах рекомендуется по возможности отключить HTTP/2 и установить перед ними прокси-сервер/брандмауэр, который будет обеспечивать жесткие ограничения на количество заголовков.
