Google, Amazon, Microsoft y Cloudflare enfrentaron ataques masivos de denegación de servicio distribuido récord contra su infraestructura en la nube en agosto y septiembre. Los ataques DDoS son una amenaza clásica de internet, y los recientes fueron generados aprovechando una vulnerabilidad en un protocolo web fundamental llamado HTTP/2.
La vulnerabilidad, denominada «HTTP/2 Rapid Reset«, solo permite la denegación de servicio, pero puede causar graves problemas. La vulnerabilidad está presente en las implementaciones del protocolo HTTP/2 utilizadas para cargar páginas web y se ha adoptado ampliamente debido a su eficiencia y capacidad para funcionar correctamente en dispositivos móviles utilizando menos ancho de banda.
Aunque los esfuerzos de parcheo están en marcha, las correcciones deberán llegar esencialmente a cada servidor web globalmente antes de que estos ataques puedan ser completamente eliminados. Los ataques DDoS pueden tener impactos diversos en las organizaciones víctimas, incluida la pérdida de negocio y la indisponibilidad de aplicaciones críticas para la misión, y pueden extenderse mucho más allá del final del ataque.
La falla en el protocolo HTTP/2 es ampliamente relevante para todos los servidores web modernos, y aunque parece que hay una minoría de implementaciones que no se ven afectadas, la vulnerabilidad es un problema importante. Las organizaciones e individuos que ejecutan sus propios servidores web deben trabajar en sus propias protecciones mientras los principales servicios en la nube y proveedores de defensa DDoS crean correcciones para sus servicios, lo que protegerá a todos los que usan su infraestructura.
En resumen, los recientes ataques DDoS masivos enfrentados por Google, Amazon, Microsoft y Cloudflare destacaron la vulnerabilidad del protocolo HTTP/2 utilizado para cargar páginas web. Aunque los esfuerzos de parcheo están en marcha, la corrección de la vulnerabilidad requerirá la actualización de cada servidor web globalmente antes de ser eliminada por completo. Mientras tanto, las organizaciones que ejecutan sus propios servidores web deben trabajar en sus propias protecciones.
Vía Wired
