HTTP/2 Bomb Saldırısı: Tehlike ve Önlemler
Siber güvenlik araştırmacıları, NGINX, Apache HTTPD, Microsoft IIS, Envoy ve Cloudflare Pingora gibi büyük web sunucularını etkileyen uzaktan servis reddi (DoS) açığını keşfettiler. Bu zafiyet, sunucu yapılandırmalarında önemli bir tehdit oluşturmakta ve hızlı bir şekilde etkili bir saldırı gerçekleşmesine neden olabilmektedir.
Saldırı Nasıl Çalışıyor?
Zafiyet, OpenAI Codex tarafından keşfedilen ve bir sıkıştırma bombası ile Slowloris tarzı bir bekletme tekniğinin bir araya getirilmesi sonucu ortaya çıkmıştır. HTTP/2 Bomb olarak adlandırılan bu zafiyet, sunucu yapılandırmasında bulunan HPACK başlık sıkıştırma şemasını hedef alır.
- Bir ağda iletilen bir byte, sunucunun belleğinde bir başlık tahsisi olarak kaydedilir.
- Bu işlem, her istek için binlerce kez tekrarlanır.
- Bekletme, sunucunun bu alanı boşaltmasını engelleyen sıfır byte akış kontrol penceresi ile sağlanır.
Saldırı, sunucunun belleğini hızla tüketebilir, böylece kullanıcıların erişimini durdurabilir.
Etkilenen Sistemler
HTTP/2 Bomb saldırısı, aşağıdaki sistemleri etkilemektedir:
- NGINX : 1.29.8 ve üzeri sürümlerde önlem alınmıştır.
- Apache HTTPD : mod_http2 v2.0.41 ile güncellenmiştir.
- Microsoft IIS , Envoy ve Cloudflare Pingora : Şu an için düzeltme bulunmamaktadır.
Çözüm ve Korunma
Bu zafiyetin etkilerinden korunmak için aşağıdaki önlemleri almanız önerilmektedir:
- NGINX : Sürümü 1.29.8 ya da üzeri ile güncelleyerek varsayılan 1000 başlık sınırını uygulayın. Güncelleme mümkün değilse, HTTP/2’yi devre dışı bırakmak için `http2 off;` yapılandırmasını kullanın.
- Apache HTTPD : mod_http2 v2.0.41 ile güncelleme yapın. Eğer güncelleme mümkün değilse, HTTP/2’yi devre dışı bırakmak için `Protocols http/1.1` ayarını yapın.
- Microsoft IIS, Envoy ve Cloudflare Pingora : Güncelleme mevcut değildir, dikkatli olun.
Sonuç olarak, sistem yöneticileri ve web sunucusu sahipleri, bu zafiyetin ciddiyetini anlamalı ve önerilen güncellemeleri acilen gerçekleştirmelidir. Ayrıca, HTTP/2 protokolünü geçici olarak devre dışı bırakmak, mevcut saldırılara karşı koruma sağlayabilir. Kullanıcıların güvenliğini sağlamak adına, sistem izleme ve güncelleme süreçleri ihmal edilmemelidir.
