Η επίθεση, που έχει λάβει την ονομασία MadeYouReset, είναι παρόμοια με την Rapid Reset, η οποία το 2023 αξιοποιήθηκε σε επιθέσεις zero-day που έσπασαν ρεκόρ DDoS ως προς τα αιτήματα ανά δευτερόλεπτο (RPS).
Η ανακάλυψη της ευπάθειας
Η MadeYouReset, που ανακαλύφθηκε από ερευνητές της εταιρείας ασφάλειας Imperva και του Πανεπιστημίου του Τελ Αβίβ στο Ισραήλ, εκμεταλλεύεται ένα σφάλμα σχεδιασμού στις υλοποιήσεις του HTTP2.
«Το HTTP/2 εισήγαγε την ακύρωση ροών – τη δυνατότητα τόσο του πελάτη όσο και του διακομιστή να κλείνουν αμέσως μια ροή οποιαδήποτε στιγμή. Ωστόσο, μετά την ακύρωση μιας ροής, πολλές υλοποιήσεις συνεχίζουν να επεξεργάζονται το αίτημα, να υπολογίζουν την απόκριση, αλλά να μην την επιστρέφουν στον πελάτη», εξήγησε το CERT/CC στο Πανεπιστήμιο Carnegie Mellon σε μια προειδοποίηση. «Αυτό δημιουργεί αναντιστοιχία μεταξύ του αριθμού των ενεργών ροών από την πλευρά του HTTP/2 και των πραγματικών ενεργών αιτημάτων HTTP που επεξεργάζεται ο backend διακομιστής.»
«Ανοίγοντας ροές και στη συνέχεια ενεργοποιώντας γρήγορα τον διακομιστή να τις επαναφέρει χρησιμοποιώντας κακοδιατυπωμένα frames ή σφάλματα ελέγχου ροής, ένας επιτιθέμενος μπορεί να εκμεταλλευτεί μια αναντιστοιχία που δημιουργείται μεταξύ της καταμέτρησης ροών HTTP/2 και των ενεργών αιτημάτων HTTP που χειρίζεται ο διακομιστής. Οι ροές που επαναφέρονται από τον διακομιστή θεωρούνται κλειστές, παρότι η backend επεξεργασία συνεχίζεται. Αυτό επιτρέπει σε έναν πελάτη να προκαλέσει στον διακομιστή να χειριστεί έναν απεριόριστο αριθμό ταυτόχρονων αιτημάτων HTTP/2 σε μία μόνο σύνδεση», πρόσθεσε το CERT/CC.
Οι επιπτώσεις της επίθεσης
Ένας επιτιθέμενος μπορεί να στέλνει συνεχώς αιτήματα επαναφοράς στον στοχευμένο διακομιστή, με αποτέλεσμα ιδιαίτερα διαταρακτικές επιθέσεις DDoS.
Ωστόσο, σε αντίθεση με την Rapid Reset, η μέθοδος MadeYouReset δεν φαίνεται να έχει αξιοποιηθεί στην πράξη.
Ποιους επηρεάζει η ευπάθεια
Η υποκείμενη ευπάθεια, με τον κωδικό CVE-2025-8671, έχει εντοπιστεί ότι επηρεάζει έργα και οργανισμούς όπως οι AMPHP, Apache Tomcat, Eclipse Foundation, F5, Fastly, gRPC, Mozilla, Netty, Suse Linux, Varnish Software, Wind River και Zephyr Project.
Διορθώσεις έχουν ήδη κυκλοφορήσει από τους προγραμματιστές του Apache Tomcat, την F5, την Fastly και την Varnish. Άλλοι εξακολουθούν να ερευνούν τον αντίκτυπο και την έκταση της ευπάθειας. Η Mozilla εργάζεται σε διορθώσεις για επηρεαζόμενες υπηρεσίες και ιστότοπους, αλλά επεσήμανε ότι λογισμικό όπως ο Firefox δεν επηρεάζεται.
Αν και η ευπάθεια έχει λάβει τον κωδικό CVE-2025-8671, ορισμένοι από τους επηρεαζόμενους προμηθευτές έχουν αναθέσει τους δικούς τους κωδικούς CVE.
Δυσκολίες στον εντοπισμό της επίθεσης
Η Imperva τόνισε ότι η MadeYouReset συγχέεται με την κανονική κίνηση, γεγονός που την καθιστά πιο δύσκολο να εντοπιστεί. Η εταιρεία σημείωσε ότι η επίθεση μπορεί να παρακάμψει πολλές υπάρχουσες άμυνες, αλλά υπάρχουν αρκετές μετριαστικές τεχνικές και άλλες λύσεις που μπορούν να αποτρέψουν τις επιθέσεις.