En una reciente divulgación conjunta realizada por Cloudflare, Google y Amazon AWS, se ha identificado una nueva vulnerabilidad en el protocolo HTTP/2, denominada «HTTP/2 Rapid Reset». Esta vulnerabilidad pone en peligro a múltiples servidores y servicios web que operan con dicho protocolo, facilitando la ejecución de ataques DDoS (Denegación de Servicio Distribuido) de alto impacto.
Cronología del Descubrimiento:
- Fecha de Divulgación: 10 de Octubre de 2023
- CVE Asignado: CVE-2023-44487
- Entidades Divulgadoras: Google, Amazon AWS y Cloudflare
¿En qué consiste la vulnerabilidad?
Este fallo de seguridad explota la funcionalidad de «reset» del protocolo HTTP/2, permitiendo a los atacantes inundar los servidores con una enorme cantidad de peticiones y resets simultáneos, llevando a estos servidores a un estado de inactividad.
Mitigaciones Propuestas:
- Para usuarios de NGINX: No es necesario desactivar el HTTP/2. Sin embargo, se recomienda ajustar las siguientes configuraciones:
keepalive_requests: Se aconseja mantener el valor predeterminado de 1000 solicitudes.http2_max_concurrent_streams: Conservar el valor predeterminado de 128 streams.limit_conn y limit_req: Se debe equilibrar el rendimiento de la aplicación con la seguridad.
- DDoS Protection / CDNs: Aquellas aplicaciones web que operan detrás de proveedores de protección DDoS/CDNs como AWS, Cloudflare, Google Cloud y Microsoft Azure deberían estar resguardadas contra este tipo de ataques.
Soluciones Disponibles: Diversas entidades ya han lanzado actualizaciones para mitigar este riesgo:
- Apache Tomcat: Actualizado en la versión 8.5.94.
- Microsoft MsQuic: Solucionado en la versión 2.2.3.
- nghttp2 library: Parcheado en la versión 1.57.0.
Recomendaciones
- Actualizaciones: Es crucial mantener al día todos los servidores y bibliotecas afectados.
- Monitoreo: Revisa constantemente los registros y métricas de tu servidor para identificar actividad sospechosa.
- Copias de seguridad: Asegúrate de contar con backups recientes y comprobados.
Cloudflare, en particular, ya ha enfrentado una oleada de estos ataques en los últimos meses, incluido uno que superó los 201 millones de solicitudes por segundo (rps), una cifra récord. Desde finales de agosto de 2023, la empresa ha mitigado más de 1,100 ataques que superan los 10 millones rps.
El descubrimiento de este zero-day ha otorgado a los ciberdelincuentes una herramienta crítica para llevar a cabo ataques de una magnitud sin precedentes. A pesar de la complejidad de estos ataques, empresas como Cloudflare han desarrollado tecnologías específicas para combatir los efectos de esta vulnerabilidad.
Si utilizas Cloudflare para la mitigación de DDoS a través de HTTP, estás protegido. Es fundamental mantenerse informado y actuar de manera proactiva para garantizar la seguridad en la era digital.
