Nginx

セキュリティ

AIが見つけた「HTTP/2 Bomb」の衝撃

家庭の回線1本で、Webサーバーが数十秒で沈む。6月2日に公開されたHTTP/2 Bombと呼ばれる新しいDoS攻撃は、nginx、Apache HTTPD、Microsoft IIS、Envoy、Cloudflare Pingoraという主要Webサーバーソフトウェアのデフォルト設定に刺さる。セキュリティ企業Califの研究者がOpenAIのCodexを使い、10年前から知られていた2つの手法を組み合わせて発見した。 10年前の技術2つを「組み合わせた」 セキュリティ企業Califが公開した技術的詳細によると、HTTP/2 Bombは2つの既知の攻撃手法を組み合わせたものだ。 1つ目はHPACK圧縮爆弾。HTTP/2ではヘッダーの圧縮にHPACKという仕組みを使う。送信側が一度テーブルに登録したヘッダーを、以降は1バイトのインデックス参照で繰り返し呼び出せる。受信側のサーバーはそのたびにヘッダー全体をメモリ上に展開する。ワイヤ上の1バイトがサーバー側で数十～数千バイトの割り当てに化ける。 2つ目はSlowloris型の接続保持。HTTP/2のフロー制御ウィンドウをゼロバイト