Was am 10. Oktober 2023 bekannt wurde
Am 10. Oktober 2023 veröffentlichten CISA und mehrere Anbieter koordinierte Hinweise zu HTTP/2 Rapid Reset (CVE-2023-44487). CISA berichtete, dass die Schwachstelle bereits zwischen August und Oktober 2023 in DoS-Angriffen ausgenutzt worden war. Die CVSS-Bewertung lag bei 7,5 (High).
HTTP/2 ermöglicht mehrere parallele Streams über eine Verbindung. Beim Rapid-Reset-Problem konnte eine Folge von Stream-Eröffnung und schnellem Abbruch den Server zu Arbeit veranlassen, die nicht im gleichen Verhältnis zur verbleibenden Verarbeitung stand. Die Schwachstelle lag im Umgang mit Protokollzustand und Ressourcen – nicht in einer Möglichkeit, beliebigen Code auf dem Server auszuführen.
Google Cloud berichtete, dass ein Angriff auf eigene Dienste mehr als 398 Millionen Anfragen pro Sekunde erreichte. Das war ein von Google beobachteter Spitzenwert, kein typischer Wert für jeden Angriff und kein Nachweis, dass jeder HTTP/2-Server dieselbe Belastbarkeit hatte. Googles globale Infrastruktur fing den Angriff weitgehend am Netzwerkrand ab.
Warum mehrere Produktklassen betroffen waren
HTTP/2 wird in Webservern, Load Balancern, Reverse-Proxies und CDN-Frontends eingesetzt. Deshalb mussten Betreiber nicht nur ihre Anwendung betrachten, sondern die gesamte Kette vom Internet-Rand bis zum Backend. Die konkrete Betroffenheit und die verfügbaren Schutzmaßnahmen unterschieden sich je nach Produkt und Version.
Der Vorfall zeigt eine wichtige Grenze von Rate Limits, die nur Anfragen zählen: Die kostentreibende Arbeit kann in Protokolloperationen und Zustandsverwaltung stattfinden, bevor ein klassischer HTTP-Request im Anwendungscode ankommt. Ressourcenbudgets müssen daher auch auf Verbindungs-, Stream- und Proxy-Ebene gelten.
Maßnahmen für Betreiber
- Erfassen Sie alle öffentlich erreichbaren HTTP/2-Endpunkte: Webserver, Ingress-Controller, Load Balancer, CDN und Anbieterplattformen.
- Installieren Sie die vom jeweiligen Hersteller bereitgestellten Sicherheitsupdates. Ein Update nur der Anwendung behebt keine verwundbare Proxy- oder Serverkomponente davor.
- Prüfen Sie Herstellerhinweise zu Stream-Limits, Verbindungsressourcen und DoS-Schutz. Die passenden Einstellungen sind produktabhängig.
- Testen Sie die Last- und Ausfallüberwachung am Edge und Backend; stellen Sie sicher, dass ein einzelner überlasteter Frontend-Knoten nicht den gesamten Dienst ausfallen lässt.
- Halten Sie einen DDoS-Reaktionsweg mit Provider, CDN oder Netzwerkteam bereit. Die Reaktion sollte nicht erst beginnen, wenn ein Dienst bereits nicht mehr erreichbar ist.
Rapid Reset war kein Grund, HTTP/2 pauschal abzuschalten. Die angemessene Reaktion war, betroffene Implementierungen zu aktualisieren und Ressourcenverbrauch entlang der gesamten Anfragekette zu begrenzen.