複数のHTTP/2実装に存在したCONTINUATIONフレーム処理の脆弱性、DoS攻撃に悪用の恐れ

text: XEXEQ編集部

HTTP/2実装のCONTINUATIONフレーム処理不備によるDoS脆弱性に関する記事の要約
複数のHTTP/2実装にDoS攻撃を引き起こす脆弱性が発覚
HTTP/2の普及に伴い影響範囲が拡大、早急なアップデートを
HTTP/2実装の脆弱性に関する考察と今後求められるセキュリティ対策
参考サイト

HTTP/2実装のCONTINUATIONフレーム処理不備によるDoS脆弱性に関する記事の要約

複数のHTTP/2実装でCONTINUATIONフレーム取り扱いの不備によりDoS攻撃が可能な脆弱性が発覚
Node.js、Envoy、Tempesta FWなど多数の製品が影響を受ける
脆弱性を悪用されるとシステムがDoS状態に陥る可能性がある
開発者が提供する最新版へのアップデートが必要
HTTP/2プロトコルにおけるCONTINUATIONフレームの仕様と実装上の問題点が明らかに

複数のHTTP/2実装にDoS攻撃を引き起こす脆弱性が発覚

2024年4月9日、複数のHTTP/2実装においてCONTINUATIONフレームの取り扱いに不備があり、サービス運用妨害（DoS）攻撃が可能となる脆弱性が明らかになった。この問題は「JVNVU#99012560」として公開されている。^[1]

脆弱性が確認されたのはNode.js、Envoy、Tempesta FWなど多数の製品で、それぞれ個別のCVE番号が割り当てられている。DoS攻撃を受けた場合、CPU負荷の増大やメモリ枯渇、異常終了などによりシステムが機能停止に陥る恐れがある。

HTTP/2ではリクエストやレスポンスのヘッダ情報をHEADERSフレームで送るが、それが1つのフレームに収まらない場合はCONTINUATIONフレームで分割して送信する仕様だ。脆弱性を突かれると、巨大なCONTINUATIONフレームを大量に送りつけられ、その処理でリソースを浪費させられてしまう。

HTTP/2の普及に伴い影響範囲が拡大、早急なアップデートを

HTTP/2は2015年に正式承認されたプロトコルで、現在ではインターネット上のトラフィックの大半を占めるまでに普及が進んでいる。通信の高速化などのメリットから、Webサーバーやロードバランサー、CDNなど様々な用途で利用されており、脆弱性の影響は広範に及ぶ。

特にオープンソースのソフトウェアは、そのコードがそのまま他の製品にも転用されることが多いため、脆弱性の波及効果が大きい。今回の件でも、個別に報告されている以外にも影響を受ける可能性のある製品は少なくないと見られ、早急な調査とアップデートが求められる。

各ベンダは修正版の提供を始めているが、ユーザー側での適用も急務だ。基幹システムへの適用には慎重を期する必要があるが、外部からのDoS攻撃によるサービス停止のリスクを考えれば、計画的なアップデートを進めるべきだろう。同時に、WAFなどの防御策によって攻撃を検知・遮断する多層防御の体制づくりも欠かせない。

HTTP/2実装の脆弱性に関する考察と今後求められるセキュリティ対策

HTTP/2の普及に伴い、その実装の安全性がますます重要になってきている。特に今回のようなDoS攻撃を引き起こす脆弱性は、インターネットのインフラを揺るがしかねない深刻な問題だ。プロトコル仕様の複雑さから、開発者が見落としがちな脆弱性が潜んでいる可能性は否定できず、継続的なセキュリティ監査が不可欠と言える。

同時に、脆弱性情報の迅速な共有と修正版の提供、ユーザーへの周知徹底などを通じて、脆弱性の影響を最小限に抑える体制づくりが求められる。特にオープンソースプロジェクトでは、開発コミュニティ全体でセキュリティ意識を高め、脆弱性の早期発見と対処に努めることが重要だ。情報共有のためのプラットフォームの整備や、セキュリティ専門家の関与促進などが有効策として考えられる。

一方でユーザー企業には、利用するソフトウェアの脆弱性管理を適切に行うことが求められる。管理対象を把握し、常に最新の脆弱性情報をウォッチしながら、計画的なアップデートを進める必要がある。加えて、WAFなどによる防御の多層化や、侵入検知・ログ分析による異常の早期発見なども欠かせない。セキュリティ対策は企業の競争力を左右する重要な経営課題として、適切な投資と体制づくりを進めるべきだ。

HTTP/2は次世代のインターネットを支える重要な基盤技術だが、その安全性は関係者全員で守っていくべきものだ。今回の脆弱性が、その意識を高める一つの契機となることを期待したい。OpenSSLの脆弱性「Heartbleed」の教訓を生かし、インターネットのセーフティーネットを強化していく努力を継続することが肝要だ。