Theory Behind CVE-2023-44487 (HTTP2 Rapid Reset) Explained | HTTP DoS

Rahul Singh Chauhan

20 Oct 202306:11

Summary

TLDRこの動画では、HTTP2 Rapid Reset攻撃について解説しています。この攻撃は、GoogleやAmazonなどのクラウドベンダーにも影響を与え、公開的に報告された大規模な影響をもたらしました。HTTP1とHTTP2の違い、特にHTTP2の二進制性とストリーム機能が攻撃にどのように関係するかを説明し、攻撃の仕組みとその影響を解説しています。

Takeaways

🌐 HTTP/2のRapid Reset攻撃について解説。CVE-2023-487が関連している。
🔍 攻撃の影響は広範囲で、Google、Amazon、Cloudflareなどのクラウドベンダーが公開して説明している。
📚 HTTP/1.1とHTTP/2の違いを説明。HTTP/1.1はテキストベースで、HTTP/2はバイナリベース。
🚫 HTTP/1.1では一度に一つのリクエストしか送ることができないのに対し、HTTP/2では複数のストリームを一つのTCP接続で送ることができる。
🔗 HTTP/2のストリームは、各リクエストに相当し、サーバーはそれらを並列で処理する。
💡 HTTP/2では、一つのTCP接続で約100個のストリーム（リクエスト）を送信できる可能性がある。
🛑 Rapid Reset攻撃では、リクエストを送信しながらrst stream frameを送ることで、サーバーのリソースを枯渇させる。
🔎 Google Cloudのドキュメントでは、HTTP/2のクライアントが一つのTCP接続で複数のストリームを開くことができ、各ストリームが一つのHTTPリクエストに対応するように説明されている。
📈 攻撃の仕組みは、リクエストを送信しながらrst stream frameを送信することで、サーバーは処理を開始するが、すぐにキャンセルする。
📖 HTTP reset攻撃について詳しく知るために、Googleで関連する記事を読むことを推奨する。

Q & A

ビデオで話されているHTTP2 Rapid Reset攻撃とは何ですか？
-HTTP2 Rapid Reset攻撃は、HTTP2プロトコルの特性を悪用したDoS攻撃で、サーバーのリソースを消費させるために多数のストリームを開設し、直ちにリセットする行為です。
CVE-2023-487はどのような意味を持ちますか？
-CVE-2023-487は、このHTTP2 Rapid Reset攻撃に割り当てられたCommon Vulnerabilities and ExposuresのIDです。
HTTP1とHTTP2の最大の違いは何ですか？
-HTTP1.1はテキストベースで、HTTP2はバイナリベースです。HTTP2はストリームと呼ばれる並列処理が可能で、HTTP1.1では1つのリクエストごとに1つのレスポンスが送られます。
HTTP2におけるストリームとは何ですか？
-HTTP2のストリームは、1つのTCP接続内で独立して送受信できるHTTPリクエストまたはレスポンスを表します。
HTTP2で多重化を利用することの利点は何ですか？
-HTTP2の多重化により、1つのTCP接続を通じて同時に複数のリクエストを送ることができます。これにより、通信効率が向上し、遅延が減ります。
RST_STREAMフレームとは何ですか？
-RST_STREAMフレームは、HTTP2でストリームを異常終了するためのフレームです。サーバーはこのフレームを受け取ると、対応するストリームの処理を中止します。
HTTP2 Rapid Reset攻撃の目的は何ですか？
-この攻撃の目的は、サーバーのリソースを消費させることです。攻撃者は多数のストリームを開設し、直ちにリセットすることで、サーバーのCPUやメモリなどのリソースを過負荷させ、サービスを妨害します。
Google Cloudはどのようにこの攻撃を検出しましたか？
-Google Cloudは、HTTP2で定義されているRST_STREAMフレームの異常なパターンを監視し、多数のストリームが開設されてからすぐに閉じられていることを検出し、この攻撃を検出しました。
HTTP2 Rapid Reset攻撃を防ぐ方法は何ですか？
-この攻撃を防ぐためには、サーバー側でストリームの状態を正しく管理し、異常なリセットパターンを検出するためのモニタリングシステムを構築することが重要です。また、セキュリティアップデートを適時適切に適用することも重要です。
HTTP2攻撃の影響を受けたクラウドベンダーには誰がいますか？
-Google、Amazon、Cloudflareなどの大規模なクラウドベンダーに影響がでました。
HTTP2攻撃が発生した際に推奨される対応策は何ですか？
-攻撃が発生した場合、関連する情報を収集し、セキュリティチームと協力して問題を分析し、適切な対策を講じることが推奨されます。また、最新のセキュリティ情報やアップデートに注意することも重要です。