MadeYouReset: Lỗ hổng HTTP/2 mới có thể làm sập hàng loạt máy chủ web

MinhSec · 09:28

Các nhà nghiên cứu bảo mật vừa công bố chi tiết một lỗ hổng nghiêm trọng trong giao thức HTTP/2, được đặt tên là MadeYouReset, cho phép tin tặc thực hiện các cuộc tấn công từ chối dịch vụ (DoS) quy mô lớn. Lỗ hổng này được xem là sự mở rộng của Rapid Reset từng gây chấn động năm 2023, với khả năng vượt qua nhiều biện pháp giảm thiểu đã được triển khai.

HTTP/2, ra mắt từ năm 2012 và hiện vẫn là nền tảng web phổ biến, đã cải thiện đáng kể so với thế hệ đầu tiên. Tuy nhiên, nó cũng tồn tại những lỗ hổng thiết kế cơ bản. Với MadeYouReset, kẻ tấn công có thể buộc máy chủ xử lý vô số yêu cầu đồng thời, dẫn đến cạn kiệt tài nguyên hoặc thậm chí khiến hệ thống sập hoàn toàn.

Hơn 100 nhà cung cấp bị ảnh hưởng

Lỗ hổng được gắn định danh CVE-2025-8671 này đã buộc các nhà nghiên cứu phải phối hợp thông báo cho hơn 100 nhà cung cấp lớn, trong đó có Apache Tomcat, Cisco, Google, Microsoft, IBM, Fastly, Mozilla và Varnish Software. Nhiều dịch vụ web và máy chủ phổ biến hiện nay đều có nguy cơ bị khai thác.

Một số đơn vị đã nhanh chóng phát hành bản vá, bao gồm Apache Tomcat, Fastly và Varnish Software. Mozilla cho biết nhiều hệ thống của họ sẽ cần cập nhật, trong khi Cisco thừa nhận có thể bị ảnh hưởng gián tiếp do sử dụng thư viện bên thứ ba. Các dự án mã nguồn mở như H2O và Zephyr cũng đang gấp rút khắc phục.

Cần vá lỗi hoặc giám sát chặt chẽ

Theo khuyến nghị của Imperva thuộc Thales, việc giảm thiểu rủi ro có thể bao gồm áp dụng xác thực nghiêm ngặt hơn, theo dõi luồng dữ liệu kỹ lưỡng, kiểm soát tốc độ kết nối, cũng như triển khai hệ thống giám sát hành vi bất thường.

Các chuyên gia nhấn mạnh: nếu bạn đang vận hành máy chủ hoặc proxy sử dụng HTTP/2, cần kiểm tra ngay với nhà cung cấp để cập nhật bản vá. Trong trường hợp chưa thể vá, biện pháp tạm thời là giám sát chặt chẽ các khung dữ liệu hoặc thậm chí vô hiệu hóa HTTP/2.

Hiện tại, chưa có bằng chứng về việc lỗ hổng này bị khai thác trên thực tế. Tuy nhiên, như kinh nghiệm trong quá khứ cho thấy, các cuộc tấn công có thể bùng phát bất ngờ mà không hề có dấu hiệu cảnh báo trước.