‘HTTP / 2’ ‘Rapid Reset’ zéro-jour exploité dans la plus grande déferlante de DDoS jamais connue

Selon Cloudflare, une faille zéro-jour dans le protocole HTTP/2 a été exploitée pour lancer la plus grande attaque par déni de service distribué (DDoS) de l’histoire. Dépassant 398 millions de requêtes par seconde, cette attaque est cinq fois plus importante que le record précédent de 71 millions de requêtes par seconde. Google, Cloudflare et AWS ont mené une divulgation coordonnée de vulnérabilité mardi pour la faille suivie sous le nom CVE-2023-44487 ou Rapid Reset. Les trois ont observé des attaques de niveau applicatif (couche 7) beaucoup plus importantes que ce qui est considéré comme normal depuis des mois, avec un pic d’activité en août, selon leurs dires. Le trio était impatient de découvrir exactement comment ce flot de trafic était généré. Quiconque lançait ces assauts voulait submerger ses cibles de paquets, ce qui entraînait l’arrêt des systèmes pour les utilisateurs légitimes. L’analyse de Cloudflare a révélé que les cybercriminels exploitaient la faiblesse susmentionnée dans HTTP/2 en utilisant un réseau de bots contrôlés par des criminels plus petit que d’habitude, ce qui explique en partie le nombre énorme de requêtes par seconde. «Une chose cruciale à noter à propos de l’attaque record est qu’elle a impliqué un botnet de taille modeste, composé d’environ 20 000 machines. Cloudflare détecte régulièrement des botnets qui sont des ordres de magnitude plus importants que celui-ci, comprenant des centaines de milliers voire des millions de machines», a déclaré la société.