# HTTP/2 신속한 재설정 취약점으로 인해 역대 규모의 DDoS 발생

> Clean Markdown view of GeekNews topic #11274. Use the original source for factual precision when an external source URL is present.

## Metadata

- GeekNews HTML: [https://news.hada.io/topic?id=11274](https://news.hada.io/topic?id=11274)
- GeekNews Markdown: [https://news.hada.io/topic/11274.md](https://news.hada.io/topic/11274.md)
- Type: news
- Author: [kuroneko](https://news.hada.io/@kuroneko)
- Published: 2023-10-11T09:24:52+09:00
- Updated: 2023-10-11T09:24:52+09:00
- Original source: [cloud.google.com](https://cloud.google.com/blog/products/identity-security/google-cloud-mitigated-largest-ddos-attack-peaking-above-398-million-rps/?hl=en)
- Points: 20
- Comments: 1

## Topic Body

- Google은 초당 3억 9800만 개의 요청이 들어오는 역대 규모의 DDoS를 처리함.  
  - 공격이 있던 2분간 발생한 요청 수는 위키피디아의 1달 트레픽보다 많음.  
- 이 공격은 HTTP/2의 새로운 취약점인 신속한 재설정(Rapid Reset)에 의해 발생.  
  - HTTP/2 동작 방식에 따라 스트림 멀티플렉싱과 요청 취소 기능 사용.  
  - 한 클라이언트에서 네트워크 대역폭이 허락하는 한 무한한 수의 요청을 만들 수 있음.  
    - 원래 7계층 DoS 공격은 RTT, 동시 연결 수 에 의존하여 한 클라이언트가 많은 요청을 생성하는 데 제한적임.  
    - 하지만 이 방법은 요청 생성 후 즉시 취소하는 과정을 통해 아주 빠르게 요청을 생성 가능.  
  - 기존에 있던 역대 규모의 DDoS와 다르게 적은 수의 기기로 효과적인 공격이 가능.  
  - 이 취약점은 [CVE-2023-44487](https://nvd.nist.gov/vuln/detail/CVE-2023-44487)에서 확인할 수 있으며, CVSS 점수는 7.5 점으로 심각한 수준.  
- 다른 공급업체인 [Cloudflare](https://blog.cloudflare.com/zero-day-rapid-reset-http2-record-breaking-ddos-attack/)와 [AWS](https://aws.amazon.com/ko/blogs/security/how-aws-protects-customers-from-ddos-events/)도 각각 2.01억 RPS와 1.55억 RPS의 DDoS 공격을 받음.  
  - Cloudflare는 2만여 대의 봇넷에 의해 공격이 발생했다고 밝힘.  
    - 기존에 있던 거대 규모의 DDoS는 수십 ~ 수백만 대의 봇넷에 의해 발생함.  
- [Nginx](https://www.nginx.com/blog/http-2-rapid-reset-attack-impacting-f5-nginx-products/), [Caddy](https://github.com/caddyserver/caddy/issues/5877) 등 웹 서버는 신속하게 패치를 진행하고 있음.  
  - 특이하게 HAProxy는 [2018년에 이 문제를 해결](https://www.mail-archive.com/haproxy@formilux.org/msg44134.html)함.

## Comments



### Comment 19801

- Author: kuroneko
- Created: 2023-10-11T09:29:47+09:00
- Points: 2

- [위 링크의 HN 스레드](https://news.ycombinator.com/item?id=37831062)  
- [관련된 HN 스레드](https://news.ycombinator.com/item?id=37830987)  
  - [Google - 작동 방식: 새로운 HTTP/2 '신속한 재설정' DDoS 공격](https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack?hl=en)  
- [관련된 HN 스레드](https://news.ycombinator.com/item?id=37830998)  
  - [Cloudflare - HTTP/2 제로데이 취약점으로 인해 기록적인 DDoS 공격 발생](https://blog.cloudflare.com/zero-day-rapid-reset-http2-record-breaking-ddos-attack/)  
  
초당 요청이 거의 4억 회라니... 진짜 무시무시하네요.  
HTTP/2 구현에 취약점이 있던 건데 이걸 완화한 구글, Cloudflare, AWS 등도 대단하긴 합니다.  
  
제일 신기한 게 HAProxy가 2018년에 이 문제를 해결했다는 점 같아요.  
당시에 이 취약점을 식별하고 수정한 건 아니지만, 나중에 다시 살펴보니 2018년에 제기된 문제가 이 취약점을 해결하는 아이디어였다고 합니다.  
  
아무튼 웹 서버 쓰시는 분들은 이 취약점이 해결된 버전으로 업데이트 하시기를 바랍니다.