HTTP/2脆弱性「HTTP/2 Bomb」、Codexが発見、家庭用PCでサーバ停止可能

米セキュリティ企業Califは6月3日、少量の通信でWebサーバに過剰な負荷をかけるDoS攻撃「HTTP/2 Bomb」について注意喚起した。この攻撃の深刻さが話題となり、国内ではさくらインターネットが6月4日夜に緊急メンテナンスを実施し、暫定的にWebサーバをHTTP/2からHTTP/1.1へ切り替えた。

Califは、米OpenAIのコーディング支援ツール「Codex」を用いてこの脆弱性を発見した。同社によれば、100Mbps程度の回線があれば家庭用PCでも脆弱なサーバを数秒で停止させられるという。標的となるのはnginx、Apache httpd、Microsoft IIS、Envoy、Cloudflare Pingoraなど。特にApache httpdとEnvoyでは、単一クライアントから約20秒で32GBのサーバメモリを消費・占有できる。

攻撃手法は、既知の2つの手法を組み合わせたものだ。1つ目はHTTP/2のヘッダ圧縮方式「HPACK」を悪用する。HPACKは一度送った情報を短い番号で呼び出せるが、これを1リクエスト内で何千回も呼び出すことでサーバメモリを占有する。送信側はわずかなデータでもサーバ側のメモリ消費は数千倍に膨らむ。

2つ目は「Slowloris」と呼ばれる手法で、サーバからの応答を受け取らずに接続を維持し続ける。どちらも約10年前から知られていたが、Codexによりこれらを組み合わせることで大量メモリを長時間占有できることが発見されたとCalifは説明している。

国内ではさくらインターネットが6月5日、HTTP/2に「外部からの攻撃によりサービスが停止する可能性がある脆弱性」が見つかったとして緊急メンテナンスを実施した。同社への確認で「HTTP/2 Bomb対策である」との回答を得た。

4日に実施された緊急メンテナンスの対象は、「さくらのレンタルサーバ」のライト、スタンダード、プレミアム、ビジネス、ビジネスプロの各プランと、「さくらのマネージドサーバ」の全プラン、レンタルサーバのリセール向けサービス全プランである。

HTTP/1.1への切り替えにより一部環境でページ表示速度がわずかに低下する可能性はあるが、サイト閲覧や機能に支障はないとしている。恒久的な対策の目処が立てば速やかにHTTP/2を再有効にする方針だ。同社以外にも、お名前.comを提供するGMOインターネットグループなど複数の企業が暫定的な対策を講じている。

Califは対策として、修正版ソフトに更新するか、更新できない場合はHTTP/2を無効化するよう呼びかけている。さくらインターネットが選んだHTTP/1.1への切り替えは後者に当たる。HTTP/2に起因する大規模攻撃は過去にもあり、2023年には米Google、米Cloudflare、米Amazonが「HTTP/2 Rapid Reset Attack」（CVE-2023-44487）による大規模DDoS攻撃を公表している。