Согласно отчету компании FoxIO, удаленные злоумышленники могут вызвать сбой работы множества HTTP/3 веб-серверов с помощью всего одной подключения. Это возможно благодаря уязвимостям в механизме QPACK, который используется для сжатия HTTP-заголовков. В компании выпустили рабочий код доказательства концепции, демонстрирующий, как можно эксплуатировать эти уязвимости.

Злоумышленник может отправить небольшую партию сжатых HTTP-заголовков, которые при разархивации в памяти сервера увеличиваются до значительно большего объема. Это приводит к тому, что сервер начинает использовать в десятки раз больше памяти, чем было изначально получено, что может вызвать его сбой.

Согласно данным, в некоторых случаях использование памяти может увеличиться до 4000 раз, что создает критическую нагрузку на серверные ресурсы. Это может привести не только к сбоям в работе отдельных серверов, но и к более широким последствиям для веб-приложений, использующих HTTP/3.

Эксперты рекомендуют администраторам серверов внимательно следить за обновлениями безопасности и применять патчи, чтобы защититься от возможных атак. Кроме того, важно следить за активностью на серверах и быть готовыми к потенциальным инцидентам.

В связи с этим, компании, использующие HTTP/3, должны оценить свои текущие меры безопасности и рассмотреть возможность внедрения дополнительных механизмов защиты, чтобы минимизировать риски, связанные с этими уязвимостями. Важно отметить, что злоумышленники не требуют авторизации для осуществления атаки, что делает проблему особенно серьезной.

Источник новости:
The Hacker News

Читать полностью