HTTP/2 « Rapid Reset » zero-day exploité dans la plus grande inondation DDoS jamais vue

Une vulnérabilité zéro-jour dans le protocole HTTP/2 a été exploitée pour lancer la plus grande attaque par déni de service distribué (DDoS) jamais enregistrée, selon Cloudflare. Dépassant 398 millions de requêtes par seconde, l’attaque est cinq fois plus importante que la précédente record de 71 millions de requêtes par seconde, Google, Cloudflare et AWS ont mené mardi une divulgation coordonnée de vulnérabilité pour la faille suivie sous le nom CVE-2023-44487 ou Rapid Reset. Les trois ont été en mesure de suivre les attaques de couche 7 (couche 7) beaucoup plus importantes que ce qui est considéré comme normal depuis des mois, avec une activité culminant en août, ont-ils déclaré. Le trio était impatient de découvrir exactement comment ce flot de trafic était généré. Quiconque lançait ces assauts voulait submerger leurs cibles de paquets, provoquant l’arrêt des systèmes pour les utilisateurs légitimes. L’analyse de Cloudflare a révélé que les cybercriminels exploitaient la faiblesse susmentionnée dans HTTP/2 en utilisant un réseau de bots contrôlé par des criminels plus petit que d’habitude, ce qui explique en partie le nombre énorme de requêtes par seconde. «Une chose cruciale à noter à propos de l’attaque battant tous les records est qu’elle a impliqué un botnet de taille modeste, composé d’environ 20 000 machines. Cloudflare détecte régulièrement des botnets qui sont des ordres de grandeur plus importants que celui-ci, comprenant des centaines de milliers et même des millions de machines»,