Publicado en

HTTP/2 Bomb: La nueva vulnerabilidad que amenaza la disponibilidad de los servidores web globales

•Publicado enVulnerabilidades

¿Qué es la vulnerabilidad HTTP/2 Bomb y por qué debería preocupar a su empresa?

Recientemente, investigadores de ciberseguridad de la firma Calif han identificado una vulnerabilidad crítica denominada «HTTP/2 Bomb». Este exploit de denegación de servicio (DoS) remoto afecta a los servidores web más utilizados del mundo, incluyendo NGINX, Apache HTTPD, Microsoft IIS, Envoy y Cloudflare Pingora.

Lo que hace que esta vulnerabilidad sea especialmente peligrosa es su capacidad para agotar los recursos del servidor con un esfuerzo mínimo por parte del atacante. Según los informes, un solo cliente con una conexión doméstica estándar podría consumir hasta 32 GB de memoria del servidor en apenas 20 segundos, provocando la caída inmediata del servicio.

Análisis técnico: ¿Cómo funciona el ataque?

El HTTP/2 Bomb es una evolución sofisticada de técnicas conocidas, descubierta mediante el uso de inteligencia artificial (OpenAI Codex). El ataque combina dos mecanismos principales:

  • Bomba de compresión en HPACK: HPACK es el algoritmo que HTTP/2 utiliza para comprimir las cabeceras de las solicitudes. El exploit aprovecha el sistema de gestión de memoria del servidor: un solo byte enviado por el atacante obliga al servidor a realizar una asignación de memoria completa para una cabecera. Al repetir esto miles de veces, el servidor se queda sin memoria RAM rápidamente.
  • Retención estilo Slowloris: El atacante utiliza una ventana de control de flujo de cero bytes. Esto impide que el servidor libere la memoria asignada, manteniendo los recursos «secuestrados» indefinidamente.

A diferencia de ataques anteriores que intentaban enviar cabeceras gigantescas (fáciles de detectar por los límites de tamaño), el HTTP/2 Bomb utiliza cabeceras casi vacías. El daño no proviene del tamaño de los datos, sino del bookkeeping o registro interno que el servidor debe crear para cada entrada, evadiendo así los controles de seguridad tradicionales.

Impacto en la continuidad del negocio

Para cualquier organización que dependa de su infraestructura web para ventas, atención al cliente o procesos operativos, un ataque de denegación de servicio representa una amenaza directa a la reputación y a los ingresos. La capacidad de este exploit para inutilizar servidores robustos con una infraestructura de ataque mínima eleva el nivel de riesgo para empresas de todos los tamaños.

Medidas de mitigación recomendadas

Desde el departamento de ciberseguridad de Intedya, recomendamos encarecidamente a los administradores de sistemas revisar sus configuraciones y aplicar las siguientes actualizaciones:

  • NGINX: Actualizar a la versión 1.29.8 o superior, que introduce la directiva max_headers. Si no es posible actualizar, se recomienda desactivar HTTP/2 temporalmente.
  • Apache HTTPD: Instalar el parche incluido en mod_http2 v2.0.41. Como alternativa, se puede forzar el uso de HTTP/1.1.
  • Microsoft IIS, Envoy y Cloudflare: A la fecha de este informe, no hay parches definitivos disponibles. Se recomienda monitorizar de cerca el consumo de memoria y aplicar políticas estrictas de tiempo de espera (timeouts) en las conexiones.

Este incidente subraya la importancia de mantener una estrategia de gestión de vulnerabilidades actualizada y la necesidad de contar con sistemas de monitorización capaces de detectar anomalías en el consumo de recursos antes de que se produzca una interrupción total del servicio.

Fuentes