Nedávno boli zverejnené informácie o kritickej zraniteľnosti v protokole HTTP/2 s názvom MadeYouReset (CVE-2025-8671). Táto technika umožňuje útočníkom zjednodušiť útoky typu denial-of-service (DoS) vyčerpaním serverových zdrojov manipuláciou s riadiacimi rámcami.
Túto zraniteľnosť robí obzvlášť nebezpečnou, pretože obchádza vstavaný bezpečnostný mechanizmus HTTP/2 známy ako MAX_CONCURRENT_STREAMS, ktorý je navrhnutý tak, aby obmedzil počet súbežných požiadaviek, ktoré môže klient spracovať. S MadeYouReset táto bariéra mizne a server je vystavený prakticky neobmedzenému náporu požiadaviek.
Táto zraniteľnosť je vývojom známeho útoku Rapid Reset z roku 2023, hoci prináša neočakávaný zvrat: namiesto toho, aby klient zrušil požiadavku, je to teraz samotný server , ktorý omylom reštartuje tok, čím generuje rovnaký ničivý dopad s minimálnou záťažou pre útočníka.
Ako funguje MadeYouReset
Pre pochopenie tejto hrozby je dôležité pamätať si, ako funguje HTTP/2. Tento protokol organizuje komunikáciu do tokov, z ktorých každý sa skladá z požiadaviek a odpovedí. Pre zachovanie rovnováhy existuje limit, ktorý bráni klientovi zahltiť server príliš veľkým počtom aktívnych požiadaviek. MadeYouReset však zneužíva chybu v implementácii: umožňuje útočníkovi iniciovať platnú požiadavku a potom prinútiť server vygenerovať chybu v sekvencii rámcov.
Táto chyba spúšťa RST_STREAM, ktorý by teoreticky mal zastaviť spracovanie . V mnohých implementáciách HTTP/2 však server pokračuje vo vykonávaní požiadavky na pozadí, čím spotrebúva cenné zdroje CPU a pamäte, aj keď sa tok považuje za uzavretý.
Týmto spôsobom môže útočník proces opakovať donekonečna a odosielať minimálne požiadavky, ktoré si nevyžadujú takmer žiadnu námahu, zatiaľ čo server je nútený investovať obrovské množstvo zdrojov do ich spracovania.
Dopad na servery a aplikácie
Rozsah MadeYouReset je značný. Medzi systémy potvrdené ako zraniteľné patria Apache Tomcat, Netty, Eclipse Jetty, Fastly, Varnish, Lighttpd, h2o, Pingora, BIND (v implementácii DNS cez HTTPS) a Zephyr RTOS, ako aj niekoľko služieb prepojených s Mozillou.
Najčastejším dôsledkom je úplné odmietnutie služby, ale v závažnejších prípadoch servery havarujú kvôli nedostatku pamäte ( OOM). To závisí od faktorov, ako je kapacita hardvéru, rýchlosť útočníka a typ napadnutého zdroja.
Aj keď požiadavky nevyžadujú intenzívne spracovanie na strane servera, neustále vytváranie a ničenie streamov (parsovanie rámcov, kompresia HPACK, údržba stavu) generuje dostatočnú réžiu na to, aby vážne znížila výkon.
Od rýchleho resetu k MadeYouReset
Zraniteľnosť Rapid Reset z roku 2023 už ukázala, aké ťažké je chrániť HTTP/2 pred zneužívaním súbežnosti. V tomto prípade útok spočíval v otváraní a rušení požiadaviek vysokou rýchlosťou. Implementované zmiernenie bolo relatívne jednoduché: obmedzenie počtu povolených zrušení na klienta.
MadeYouReset však túto obranu obchádza. Keďže reštart nespúšťa klient, ale samotný server po zistení nezrovnalostí v kontrolných rámcoch, obmedzenia aplikované na zrušenia klientmi sa stávajú neúčinnými. Vďaka tomu je MadeYouReset oveľa ťažšie zastaviť.
Dôsledky pre web a ďalšie kroky
Výskumníci, ktorí stoja za týmto objavom, varujú, že asymetrická povaha HTTP/2 dáva tejto zraniteľnosti obrovský deštruktívny potenciál. Útočník s minimálnymi zdrojmi môže znefunkčniť kritické služby zneužitím dizajnu, ktorý za normálnych okolností prospieva efektivite a rýchlosti moderného webu.
Hoci niektoré platformy ako Apache httpd, HAProxy, Node.js a LiteSpeed nie sú ovplyvnené, zoznam zraniteľných projektov je rozsiahly a ohrozuje veľkú časť internetovej infraštruktúry. Stav nginx je stále nejasný.
Výskum pokračuje a dodávatelia pracujú na konkrétnych opatreniach na zmiernenie rizík. Medzitým MadeYouReset zdôrazňuje krehkú rovnováhu medzi výkonom a bezpečnosťou v sieťových komunikačných protokoloch.
Zdroj: https://galbarnahum.com