ช่องโหว่ HTTP/2 Rapid Reset ก่อให้เกิด DDoS ครั้งใหญ่ที่สุดเท่าที่เคยมีมา

 (cloud.google.com)
20 คะแนน โดย kuroneko 2023-10-11 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • Google รับมือกับ DDoS ครั้งใหญ่ที่สุดเท่าที่เคยมีมา โดยมีคำขอเข้ามาสูงถึง 398 ล้านครั้งต่อวินาที
    • ในช่วง 2 นาทีที่เกิดการโจมตี จำนวนคำขอที่เกิดขึ้นมากกว่าทราฟฟิกตลอด 1 เดือนของ Wikipedia
  • การโจมตีนี้เกิดจากช่องโหว่ใหม่ของ HTTP/2 ที่ชื่อว่า Rapid Reset
    • อาศัยการทำงานของ HTTP/2 ในส่วนของ stream multiplexing และความสามารถในการยกเลิกคำขอ
    • ไคลเอนต์หนึ่งรายสามารถสร้างคำขอได้ไม่จำกัดตราบเท่าที่แบนด์วิดท์เครือข่ายยังเอื้ออำนวย
      • โดยปกติการโจมตี DoS ระดับเลเยอร์ 7 จะถูกจำกัดในการสร้างคำขอจำนวนมากจากไคลเอนต์เดียว เพราะขึ้นอยู่กับ RTT และจำนวนการเชื่อมต่อพร้อมกัน
      • แต่วิธีนี้สามารถสร้างคำขอได้อย่างรวดเร็วมากผ่านกระบวนการยกเลิกทันทีหลังจากสร้างคำขอ
    • ต่างจาก DDoS ขนาดมหึมาที่เคยเกิดขึ้นก่อนหน้านี้ วิธีนี้ทำให้โจมตีได้อย่างมีประสิทธิภาพด้วยอุปกรณ์จำนวนน้อย
    • ช่องโหว่นี้สามารถดูได้ที่ CVE-2023-44487 และมีคะแนน CVSS 7.5 ซึ่งอยู่ในระดับร้ายแรง
  • ผู้ให้บริการรายอื่นอย่าง Cloudflare และ AWS ก็ถูกโจมตีแบบ DDoS เช่นกันที่ระดับ 201 ล้าน RPS และ 155 ล้าน RPS ตามลำดับ
    • Cloudflare ระบุว่าการโจมตีเกิดจากบอตเน็ตราว 20,000 เครื่อง
      • ขณะที่ DDoS ขนาดใหญ่มหาศาลในอดีตมักเกิดจากบอตเน็ตจำนวนหลายหมื่นถึงหลายล้านเครื่อง
  • เว็บเซิร์ฟเวอร์อย่าง Nginx, Caddy กำลังออกแพตช์อย่างรวดเร็ว

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
kuroneko 2023-10-11

เกือบ 400 ล้านคำขอต่อวินาที... น่ากลัวจริง ๆ
มันเป็นช่องโหว่ในอิมพลีเมนเทชันของ HTTP/2 แต่ Google, Cloudflare, AWS และรายอื่น ๆ ที่บรรเทาปัญหานี้ได้ก็สุดยอดมากเหมือนกัน

สิ่งที่น่าทึ่งที่สุดคือดูเหมือนว่า HAProxy จะแก้ปัญหานี้ไปตั้งแต่ปี 2018 แล้ว
ตอนนั้นไม่ได้ระบุและแก้ไขช่องโหว่นี้โดยตรง แต่เมื่อกลับมาทบทวนภายหลังก็พบว่าประเด็นที่ถูกยกขึ้นมาในปี 2018 นั้นเป็นไอเดียที่นำไปสู่การแก้ช่องโหว่นี้

อย่างไรก็ตาม ถ้าคุณใช้เว็บเซิร์ฟเวอร์อยู่ ก็ควรอัปเดตเป็นเวอร์ชันที่แก้ไขช่องโหว่นี้แล้ว