HTTP/2协议曝"MadeYouReset"漏洞，可用于发动大规模DDoS攻击
内容提要
安全研究人员发现HTTP/2协议中的新型拒绝服务漏洞"MadeYouReset"（CVE-2025-8671），攻击者可通过无限制并发请求使服务器崩溃。该漏洞源于2023年的Rapid Reset漏洞，诱使服务器发送RST_STREAM帧，导致资源耗尽。受影响项目包括Netty和Apache Tomcat，厂商建议立即更新补丁并实施速率限制。
关键要点
-
安全研究人员发现HTTP/2协议中的新型拒绝服务漏洞' MadeYouReset'（CVE-2025-8671）。
-
该漏洞允许攻击者通过无限制并发请求使服务器崩溃，源于2023年的Rapid Reset漏洞。
-
MadeYouReset攻击绕过了内置的并发限制，诱使服务器发送RST_STREAM帧，导致资源耗尽。
-
攻击者通过发送有效请求并触发协议错误来实现攻击，服务器在处理错误时消耗资源。
-
该漏洞可导致低成本、高影响力的DDoS攻击，受影响项目包括Netty和Apache Tomcat等。
-
厂商建议立即更新补丁并实施速率限制，降低MAX_CONCURRENT_STREAMS值以缓解风险。
-
漏洞凸显了HTTP/2协议中资源不对称的问题，发送请求成本低而处理请求代价高昂。
延伸解读
漏洞影响与攻击成本
MadeYouReset漏洞的出现使得攻击者能够以极低的成本发动大规模DDoS攻击。攻击者只需发送少量请求，而服务器则需消耗大量资源来处理这些请求，导致资源耗尽。这种资源不对称的问题在HTTP/2协议中尤为突出，给网络安全带来了新的挑战。
应对措施与建议
针对MadeYouReset漏洞，厂商建议立即更新补丁并实施速率限制，以降低风险。此外，降低MAX_CONCURRENT_STREAMS值也是一种有效的缓解措施。对于无法立即修补的系统，监控异常的RST_STREAM模式可以帮助识别潜在的攻击。
协议优化的重要性
随着网络流量越来越依赖HTTP/2协议，持续优化该协议以应对新出现的安全威胁显得尤为重要。MadeYouReset漏洞的发现提醒我们，网络协议的设计需要考虑到攻击者的潜在策略，以减少未来的安全风险。
延伸问答
什么是MadeYouReset漏洞？
MadeYouReset漏洞（CVE-2025-8671）是HTTP/2协议中的一种新型拒绝服务漏洞，攻击者可以通过无限制的并发请求使服务器崩溃。
MadeYouReset漏洞是如何被利用的？
攻击者通过发送有效请求并触发协议错误，诱使服务器发送RST_STREAM帧，从而导致资源耗尽。
哪些项目受到MadeYouReset漏洞的影响？
受影响的项目包括Netty、Apache Tomcat、F5 BIG-IP、H2O和Swift-NIO-HTTP2等。
如何缓解MadeYouReset漏洞的风险？
厂商建议立即安装补丁，实施速率限制，并降低MAX_CONCURRENT_STREAMS值以缓解风险。
MadeYouReset漏洞与Rapid Reset漏洞有什么关系？
MadeYouReset漏洞是基于2023年发现的Rapid Reset漏洞构建的，后者利用了HTTP/2的流取消机制。
MadeYouReset漏洞对网络安全有什么影响？
该漏洞可导致低成本、高影响力的DDoS攻击，服务器需为少量请求消耗大量资源，可能导致系统崩溃。
