Atacatori exploatează vulnerabilitatea QPACK din HTTP/3 pentru a prăbuși serverele

Cum amplifică QPACK consumul de resurse?

Cercetători au identificat o vulnerabilitate critică în serverele HTTP/3. Defectul permite clienților neautentificați să declanșeze alocări masive de memorie.

Atacatorii trimite cereri mici care forțează serverele să consume resurse disproporționate. Rezultatul? Crășe de tip out-of-memory pe configurațiile implicite.

Problema provine din mecanismul de compresie a antetelor QPACK.

Atacul exploatează modele specifice de câmpuri de antet, cunoscute sub numele de „header accordions”. O singură conexiune este suficientă pentru a coplefi configurațiile standard ale serverelor.

Supraîncărcarea memoriei variază de la zeci la mii de ori față de dimensiunea intrării. Această dezechilibru creează un vector sever de refuz al serviciului pentru infrastructura web modernă.

Problema centrală stă în modul în care HTTP/3 gestionează actualizările tabelei dinamice.

QPACK comprimă antetele prin referințe la valori anterioare stocate într-o tabelă dinamică. Atacatorii manipulează aceste referințe pentru a crea structuri interne disproporționat de mari. Serverele trebuie să mențină starea pentru fiecare conexiune activă pentru a decompresa viitoarele antete.

Configurațiile implicite protejează împotriva epuizării?

Când un atacator inundă acest spațiu de stare, utilizarea memoriei crește dramatic.

Șapte din cele zece implementări majore de server testate au arătat susceptibilitate.

Câteva dintre aceste sisteme rămân expuse în medii de producție astăzi. Vulnerabilitatea nu necesită payload-uri complexe sau mai multe conexiuni. Un singur flux poate iniția procesul de amplificare eficient.

Acest lucru face atacul foarte eficient pentru campaniile distribuite de refuz al serviciului.

Majoritatea serverelor sunt livrate cu setări implicite care le lasă deschise acestui risc. Limita de dimensiune a tabelei dinamice adesea permite o creștere excesivă în condiții de atac.

Administratorii rareori ajustează acești parametri fără a înțelege mecanica subiacentă. În consecință, multe puncte finale cu trafic intens rămân vulnerabile la încercări simple de sondare.

Cum transformă QPACK serverele HTTP/3 în ținte ușoare pentru atacurile OOM?

Cercetătorii recomandă limitarea agresivă a dimensiunii tabelei dinamice.

Dezactivarea completă a QPACK oferă o strategie robustă de mitigare pentru sistemele critice. Alternativ, limite stricte de memorie pe conexiune pot preveni ca un singur client să epuizeze resursele. Instrumentele de monitorizare ar trebui să urmărească costurile de decomprimare a antetelor în timp real.

Atacul necesită autentificare? Nu, atacul funcționează împotriva clienților neautentificați.

Orice utilizator remote poate iniția procesul de amplificare a memoriei fără credențiale. Acest lucru îl face ușor de exploatat de boturi automate.

Ce protocoale sunt afectate?

HTTP/3 și serviciile bazate pe QUIC care folosesc QPACK sunt țintite în principal. HTTP/2 folosește un concept similar, dar are limite și mitigări diferite. Factorul specific de amplificare se aplică implementării QPACK.

Cât de repede poate crăpă un server? O singură conexiune susținută poate cauza o eroare de tip out-of-memory. Viteza depinde de memoria sistemului disponibilă și de încărcarea concurentă. Sub un atac intens, eșecul apare în câteva secunde.