Un nuevo vector de amplificación en CDNs

Recientes trabajos de investigación revelan que la forma en que los principales proveedores de CDN traducen peticiones HTTP/3 a HTTP/1.1 puede ser explotada para lanzar ataques de denegación de servicio extremadamente eficientes. Los autores del estudio describen dos variantes bajo el nombre colectivo CDN Tsunami. Ambas convierten un flujo de datos muy reducido en una avalancha de peticiones HTTP/1.1 dirigidas al servidor de origen, logrando una amplificación de hasta 350×.

¿Cómo funciona?

  1. Cliente → CDN: El atacante envía tráfico HTTP/3 a la capa de edge del CDN.
  2. CDN → Origen: El CDN traduce esa solicitud a HTTP/1.1 antes de reenviarla al servidor web.
  3. Amplificación: Cada petición HTTP/3 genera múltiples peticiones HTTP/1.1, inflando el volumen de tráfico que llega al origen.

Los experimentos se realizaron contra infraestructuras de gran escala como Alibaba y Baidu, demostrando que incluso con un ancho de banda de pocos kilobits por segundo el origen puede verse saturado.

"Un pequeño flujo puede convertirse en una tormenta", afirman los investigadores.

Impacto y mitigaciones

  • Impacto: Los servidores de origen pueden experimentar caídas, degradación del servicio o incluso comprometer la disponibilidad de aplicaciones críticas.
  • Mitigaciones: Limitar la tasa de peticiones HTTP/1.1 provenientes del CDN, aplicar filtros de tráfico anómalo y revisar la configuración de traducción de protocolos.

Cobertura de detección en DefensOps

  • Plan mínimo: Essential
  • Técnicas MITRE: N/A
  • Cobertura: Motor de correlación genérica que identifica patrones de tráfico anómalo entre HTTP/3 y HTTP/1.1, disponible en el plan Essential.

¿Estás cubierto en DefensOps?

Nuestro motor de correlación detecta la generación masiva de peticiones HTTP/1.1 originadas a partir de tráfico HTTP/3, cumpliendo con la regla de detección genérica incluida en el plan Essential. No se requieren configuraciones adicionales para monitorizar este vector.

Solicita una demo o consulta nuestra página de precios para conocer el plan que mejor se adapta a tu organización.

Fuente: The Hacker News – CDN Tsunami Attack Abuses HTTP/3 Translation for Up to 350x DoS Amplification