È stata rilevata una falla critica nel protocollo HTTP/2 che consente attacchi di denial of service remoti. Server popolari come NGINX, Apache, IIS, Envoy e Cloudflare sono esposti. Gli aggressori possono mettere offline siti web, influenzando acquisti, pratiche burocratiche o informazioni quotidiane. La soluzione immediata è applicare patch di sicurezza per evitare interruzioni nei servizi essenziali.
Il difetto sfrutta la gestione dei flussi in HTTP/2 🔥
La vulnerabilità risiede nel modo in cui HTTP/2 gestisce i flussi concorrenti. Un aggressore invia molteplici richieste che costringono il server a consumare memoria e CPU fino al collasso. Colpisce le configurazioni predefinite di NGINX, Apache, IIS ed Envoy. Cloudflare ha già implementato mitigazioni, ma gli amministratori devono verificare le proprie versioni. Senza patch, un singolo attacco può abbattere un servizio critico senza necessità di grande larghezza di banda.
Un altro motivo per non dormire tranquilli come sysadmin 😅
Nel caso non bastasse patchare Log4j, SSL e il kernel ogni martedì, ora HTTP/2 ti regala un nuovo incubo. La parte migliore è che il difetto permette di far crollare il tuo server con meno sforzo di quanto ne metti per giustificare perché non hai aggiornato. Quindi già lo sai: caffè, patch e prega che gli aggressori abbiano cose migliori da fare una domenica.