Een zerodaylek in het HTTP/2-protocol is afgelopen augustus gebruikt voor het uitvoeren van een record ddos-aanval van 398 miljoen requests per seconde (rps), zo hebben Amazon Web Services, Cloudflare en Google vandaag. bekendgemaakt. De aanval die door Google werd gestopt was 7,5 keer groter dan de recordaanval die het eind vorig jaar blokkeerde.

De zeroday-aanvallen waar de drie genoemde partijen mee te maken kregen maakten misbruik van een feature van het HTTP/2-protocol. Dit protocol is essentieel voor de werking van het internet en websites. Een van de features die het biedt betreft de mogelijkheid voor clients om door middel van een RST_STREAM frame aan een webserver door te geven dat een vorige stream moet worden geannuleerd. Er is hiervoor geen coördinatie tussen de server en client vereist. De client kan dit eenzijdig doen.

Bij de "Rapid Reset" aanval, zoals de aanval wordt genoemd, stuurt de aanvaller een request frame naar de server, en reset dan het verzoek. Het verzoek wordt geannuleerd, maar de HTTP/2-verbinding blijft openstaan. Het aangevallen systeem zal elk verzoek verwerken, en voor deze verzoeken, die dan worden gereset of geannuleerd door de aanvaller, logs genereren. Een aanvaller kan hier misbruik van maken door op grote schaal HTTP/2-requests te versturen, die te annuleren, om vervolgens weer opnieuw te versturen. Dit kan worden gedaan door een vrij klein botnet van zo'n 20.000 machines, die zo de aangevallen webserver volledig kunnen overbelasten.

Volgens de drie techbedrijven kunnen alle webapplicaties, services en API's op een server of proxy die via HTTP/2 communiceren kwetsbaar zijn. Na het stoppen van de aanval deelde Google informatie over de gebruikte kwetsbaarheid (CVE-2023-44487) met andere cloudproviders en softwarepartijen die de HTTP/2-protocol stack implementeren. Dat leidde tot verdere mitigaties en patches. "Alle providers die over HTTP/2-services beschikken moeten controleren of ze kwetsbaar zijn", aldus Google.