Aktywnie wykorzystywana w atakach
HTTP/2 Rapid Reset Attack Vulnerability
IETF - HTTP/2 · Figuruje w katalogu CISA KEV od 2023-10-10. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2023-44487
WysokieCVSS 7.5KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Protokół HTTP/2 umożliwia atak typu denial of service (zużycie zasobów serwera) z powodu możliwości szybkiego resetowania wielu strumieni poprzez anulowanie żądań. Atak ten był wykorzystywany w praktyce od sierpnia do października 2023 roku.
Ocena ryzyka
Organizacje mogą doświadczyć znacznych problemów z dostępnością usług, co prowadzi do zakłóceń w działaniu aplikacji i potencjalnych strat finansowych.
Rekomendacja
Zaleca się monitorowanie i ograniczanie liczby jednoczesnych żądań HTTP/2 oraz wdrożenie mechanizmów ochrony przed atakami typu denial of service.
Oryginalny opis (angielski, źródło NVD)
The HTTP/2 protocol allows a denial of service (server resource consumption) because request cancellation can reset many streams quickly, as exploited in the wild in August through October 2023.