HTTP/2 Bomb: Yeni Bir DoS Saldırısı
Son dönemde keşfedilen yeni bir Denial of Service (DoS) saldırısı olan HTTP/2 Bomb, tek bir makinadan başlatılarak web sunucularını saniyeler içinde devre dışı bırakabiliyor. Bu saldırı, büyük web sunucularının varsayılan HTTP/2 yapılandırmalarını hedef alarak önemli bir tehdit oluşturuyor.
Saldırı Nasıl Çalışıyor?
HTTP/2 Bomb saldırısı, iki önceden bilinen HTTP/2 DoS yöntemini birleştirerek çalışıyor: HPACK sıkıştırma amplifikasyonu ve Slowloris tarzı kaynak tutma. Bu saldırı yöntemi, şunları içeriyor:
- Bir istemcinin 100 Mbps bağlantısıyla sunucunun bellek kullanımını hızlıca artırmak.
- Belirli bir süre içinde sunucunun belleğini serbest bırakmasını engellemek.
Araştırmalar sonucunda, tek bir istemcinin Apache httpd veya Envoy gibi savunmasız bir sunucuya karşı bellek tüketimini hızla gerçekleştirdiği görülmektedir. Örneğin, Envoy 1.37.2 sürümü yaklaşık 10 saniyede 32 GB RAM’i tüketirken, Apache httpd 2.4.67 sürümü benzer bir süre içinde aynı miktarda bellek tüketmektedir.
Etkilenen Sistemler
HTTP/2 Bomb saldırısı, aşağıdaki web sunucularını etkiliyor:
- Envoy 1.37.2: 32 GB RAM’i ~10 saniyede tüketiyor
- Apache httpd 2.4.67: 32 GB RAM’i ~18 saniyede tüketiyor
- nginx 1.29.7: 32 GB RAM’i ~45 saniyede tüketiyor
- IIS (Windows Server 2025): 64 GB RAM’i ~45 saniyede tüketiyor
Saldırının tam teknik detayları, araştırmacı Quang Luong tarafından bu ay içinde düzenlenecek olan Real World AI Security konferansında açıklanacaktır.
Çözüm ve Korunma
Araştırmacılar, bu saldırı tekniğinin hiç de yeni olmadığını, ancak iki farklı tekniğin bir araya getirilmesinin önemli sonuçlar doğurduğunu vurguluyorlar. Tüm web sunucuları HTTP/2 Bomb saldırısına karşı savunmasız değildir. Bazı platformlar için yamalar yayınlanmıştır ve bazı özel sunucu yapılandırmaları saldırıya dolaylı koruma sağlayabilir. Öne çıkan yamalar şunlardır:
- nginx 1.29.8 sürümünde, ‘max_headers’ direktifi eklendi.
- Apache httpd mod_http2 2.0.41 sürümünde, bu sorun için CVE-2026-49975 tanımlayıcısı verildi.
Mevcut durumda, IIS, Envoy ve Pingora sunucuları için bir yama bulunmamaktadır. Bu nedenle, bu web sunucularında HTTP/2‘yi devre dışı bırakmak ve önünde katı başlık sayım sınırlarını uygulayan bir proxy veya firewall yerleştirmek önerilmektedir.
Aksiyon: Ne Yapmalısınız?
Web sunucularınızın güvenliğini sağlamak için derhal şu adımları takip edin:
- HTTP/2’yi destekleyen sunucularınızı güncelleyin.
- Yamalara sahip olmayan sunucularda HTTP/2’yi devre dışı bırakın.
- Bir proxy veya güvenlik duvarı kullanarak başlık sayım sınırlarını uygulayın.
Bu adımlar, potansiyel saldırılara karşı sistemlerinizi korumanıza yardımcı olacaktır.
