// TOM'S HARDWARE ITALIA — SALUTE
CDN Tsunami, poche richieste possono generare 350 volte il traffico
Una nuova classe di attacchi Denial-of-Service, battezzata CDN Tsunami, colpisce l'architettura usata da alcuni dei maggiori fornitori di Content Delivery Network. Il problema nasce quando una CDN riceve traffico HTTP/3 basato su QUIC ai propri nodi periferici, ma comunica con il server di origine attraverso HTTP/1.1. Questa traduzione può trasformare poche richieste compatte in un flusso molto più pesante diretto all'infrastruttura da proteggere.
La prima tecnica individuata sfrutta QPACK, il sistema di compressione delle intestazioni previsto da HTTP/3. Un aggressore può inserire un'intestazione molto grande nella tabella dinamica e richiamarla ripetutamente attraverso indici di dimensioni ridotte. Quando la CDN decomprime e converte i dati per l'origine, la richiesta cresce drasticamente: nei test condotti su Alibaba, Baidu e Tencent il fattore massimo ha raggiunto 350 volte.
Questa variante, denominata HTTP/3 Bandwidth Amplification, richiede meno di 500 Kbps dal lato dell'attaccante quando viene sfruttata la tabella dinamica. Le configurazioni basate sulle tabelle statiche hanno prodotto fattori compresi tra 36 e 66 volte, con meno di 5 Mbps in ingresso. In entrambi i casi, il server di origine può essere costretto a gestire oltre 100 Mbps di traffico.
La seconda tecnica, chiamata HTTP/3 Connection Amplification, punta invece a esaurire le connessioni disponibili. Molte CDN aprono una sessione HTTP/1.1 verso il backend appena ricevono il frame HEADERS, senza attendere il corpo completo. Quattro connessioni HTTP/3 con 96 flussi ciascuna possono quindi generare 384 connessioni backend, sufficienti a saturare un server Apache configurato per accettarne 256.
Tutti e sei i servizi esaminati risultano vulnerabili all'amplificazione della banda, mentre Cloudflare è l'unico a resistere alla variante basata sulle connessioni, poiché memorizza la richiesta completa prima di contattare l'origine. L'analisi dell'esposizione ha individuato 42.330 sottodomini con HTTP/3 abilitato e potenzialmente vulnerabili, su 151.685 sottodomini ospitati dalle CDN coinvolte. La logica dell'amplificazione emerge anche in altri ambiti della sicurezza, come mostra l'impiego dell'IA per aumentare la pressione esercitata dai gruppi ransomware.
Al momento della divulgazione non risultano sfruttamenti attivi, una CVE assegnata o un inserimento nel catalogo CISA Known Exploited Vulnerabilities. Baidu e Tencent hanno già distribuito contromisure dopo la segnalazione, riconoscendo ricompense rispettivamente di 350 e 150 dollari. Gli altri operatori hanno confermato la ricezione delle informazioni, ma non tutti hanno completato gli interventi correttivi.
Le mitigazioni lato CDN comprendono un limite di 512 byte per le voci della tabella dinamica QPACK, non più di dieci riferimenti alla stessa voce per flusso e una dimensione massima di 64 KB per la richiesta HTTP/1.1 decompressa. Sono inoltre consigliati il buffering completo, limiti alle connessioni backend e timeout di 30 secondi in assenza di dati significativi. Non esiste invece una contromisura efficace applicabile esclusivamente dal server di origine.
Aggiungi Tom's Hardware alle tue fonti preferite su Google