CERT/CC警告：新型HTTP/2漏洞"MadeYouReset"恐致全球服务器遭DDoS攻击瘫痪
内容提要
CERT/CC近日警告，HTTP/2中的"MadeYouReset"漏洞（CVE-2025-8671）可能被用于DDoS攻击。该漏洞源于服务器处理流重置不当，攻击者可通过单一连接发送大量并发请求，导致服务器过载。建议组织及时更新补丁并审计相关实现。
关键要点
-
CERT/CC警告HTTP/2中的' MadeYouReset'漏洞（CVE-2025-8671）可能被用于DDoS攻击。
-
该漏洞源于服务器处理流重置不当，攻击者可通过单一连接发送大量并发请求。
-
漏洞利用HTTP/2规范与实际Web服务器内部架构在流重置处理上的不匹配。
-
攻击者可维持持续的'重置流'，迫使服务器处理超出设计容量的请求。
-
CERT/CC建议组织及时更新补丁并审计相关实现，限制服务端发送RST_STREAM帧的数量或速率。
-
多家厂商已发布针对MadeYouReset的补丁或安全公告，建议开发者参考技术文档中的缓解措施。
延伸解读
漏洞背景与影响
HTTP/2协议的设计初衷是提高网络传输效率，但' MadeYouReset'漏洞的出现暴露了其在流重置处理上的缺陷。这一漏洞可能导致服务器在处理大量并发请求时超负荷，进而引发服务中断，影响用户体验和业务运营。
修复与防范措施
针对' MadeYouReset'漏洞，CERT/CC建议组织及时更新补丁并审计相关实现。开发者应关注服务端RST_STREAM帧的发送限制，以降低被攻击的风险。此外，参考技术文档中的缓解措施也是防范此类攻击的重要步骤。
与其他漏洞的比较
该漏洞与CVE-2023-44487（'Rapid Reset'）存在相似之处，但前者利用的是服务端发起的流重置，而后者则是客户端发起的。这种差异使得攻击方式和影响范围有所不同，组织在防范时需针对具体漏洞特点采取相应措施。
延伸问答
什么是MadeYouReset漏洞？
MadeYouReset漏洞是HTTP/2中的一个缺陷，编号CVE-2025-8671，可能被用于发起DDoS攻击。
MadeYouReset漏洞是如何被利用的？
攻击者通过单一连接发送大量并发请求，利用服务器处理流重置不当，导致服务器过载。
该漏洞对服务器的影响是什么？
利用该漏洞可能导致服务器CPU过载或内存耗尽，从而使关键服务瘫痪。
如何修复MadeYouReset漏洞？
建议组织及时更新补丁，限制服务端发送RST_STREAM帧的数量或速率，并审计相关实现。
MadeYouReset漏洞与其他漏洞有什么相似之处？
它与CVE-2023-44487（Rapid Reset）相似，但后者是滥用客户端发起的流重置，而MadeYouReset利用的是服务端发起的流重置。
CERT/CC对组织的建议是什么？
CERT/CC建议组织及时查阅厂商声明并应用更新，同时采取措施限制RST_STREAM帧的发送。
