Une nouvelle vulnérabilité, nommée HTTP/2 Rapid Reset, a été découverte, mettant en scène des attaques DDoS jamais vues auparavant. Une nouvelle menace à l’origine de la plus volumineuse attaque de l’histoire d’Internet !

Cloudflare, Inc. spécialiste dans le domaine de la connectivité cloud, révèle au public avoir contribué à la divulgation d’une nouvelle vulnérabilité zero-day, baptisée « HTTP/2 Rapid Reset ». Cette vulnérabilité mondiale confère aux acteurs malveillants la possibilité de générer des attaques d’un volume encore jamais observé sur Internet.

Afin d’aider à atténuer les effets de cette nouvelle menace DDoS sur l’ensemble de l’écosystème Internet, le spécialiste a spécialement développé une technologie pour bloquer automatiquement n’importe quelle attaque basée sur Rapid Reset pour ses clients.

La société américaine a tout d’abord atténué ces risques avec succès et mis un terme aux abus potentiels pour tous ses clients, tout en donnant le coup d’envoi d’une procédure de divulgation responsable avec deux autres importants fournisseurs d’infrastructure. Elle a ensuite étendu les mesures d’atténuation de cette vulnérabilité à un large pourcentage d’Internet, avant de révéler l’existence de cette dernière au grand public.

« Si cette attaque DDoS et cette vulnérabilité restent au-dessus du lot à l’heure actuelle, les acteurs malveillants ne manqueront pas d’inventer d’autres tactiques et techniques zero-day évolutives, afin de perpétrer de nouvelles attaques. La constance dans la préparation et la capacité d’intervention face à ces menaces réside au cœur de notre mission visant à bâtir un meilleur Internet. » indique Matthew Prince, CEO de Cloudflare.

Anatomie de la vulnérabilité HTTP/2 Rapid Reset

Fin août 2023, il a découvert une vulnérabilité zero-day, développée par un acteur malveillant inconnu. La vulnérabilité exploite le protocole HTTP/2 standard, un composant fondamental du fonctionnement d’Internet et de la plupart des sites web. Le protocole HTTP/2 est responsable de la manière dont les navigateurs interagissent avec un site web, en leur permettant de « requérir » l’affichage rapide de certains éléments (comme le texte et les images) et tous à la fois, peu importe la complexité du site. Cette nouvelle attaque fonctionne en effectuant des centaines de milliers de « requêtes » et en les annulant immédiatement. En automatisant ce processus de « requête, annulation, requête, annulation » à grande échelle, les acteurs malveillants parviennent à submerger les sites web et peuvent entraîner la mise hors ligne de n’importe quel équipement utilisant le HTTP/2.

La vulnérabilité « Rapid Reset » confère aux acteurs malveillants un tout nouveau moyen, particulièrement puissant, d’attaquer leurs victimes sur Internet à un niveau d’envergure supérieur à tout ce qu’Internet a connu jusqu’ici. Le protocole HTTP/2 constitue la base d’environ 60 % de l’ensemble des applications web. Il détermine la vitesse et la qualité avec laquelle les utilisateurs voient et interagissent avec les sites web.

D’après les données, plusieurs attaques tirant parti de Rapid Reset ont été estimées à une ampleur près de trois fois supérieure à celle de l’attaque DDoS la plus volumineuse de l’histoire d’Internet. Au point culminant de cette campagne d’attaques DDoS, il a été enregistré et traité plus de 201 millions de requêtes par seconde (Mr/s), tout en se chargeant de l’atténuation des milliers d’attaques supplémentaires qui ont suivi.

Déjouer l’attaque en compagnie d’autres pairs du secteur

Les acteurs malveillants utilisant des méthodes d’attaques susceptibles de pulvériser tous les records ont énormément de mal à tester et à comprendre leur efficacité, du fait de leur absence d’infrastructure capable d’absorber les attaques. C’est pourquoi ils les testent souvent contre des fournisseurs, afin de mieux comprendre les performances futures de leurs attaques.

« Bien que les attaques de grande ampleur (comme celles qui tirent parti de vulnérabilités telles que Rapid Reset) puissent se révéler complexes et difficiles à atténuer, elles nous fournissent une visibilité sans précédent sur les nouvelles techniques employées par les acteurs malveillants, et ce à un stade précoce de leur processus de développement. S’il n’existe pas de « procédure parfaite » en matière de révélation de vulnérabilité« .

La NSA et la CISA pointent les principales erreurs de configuration en matière de cyber sécurité 

L’Agence de Sécurité Nationale (NSA) et l’Agence de Cybersécurité et de Sécurité des Infrastructures (CISA) ont révélé les dix erreurs de configuration les plus courantes en matière de cybersécurité, découvertes par leurs équipes dans les réseaux des grandes organisations.

L’avis détaille également les tactiques, techniques et procédures (TTP) utilisées par les acteurs de la menace pour exploiter avec succès ces mauvaises configurations avec différents objectifs, notamment l’accès, le déplacement latéral et le ciblage d’informations ou de systèmes sensibles.

Les dix configurations de réseau les plus courantes découvertes lors des évaluations des équipes et par les équipes de chasse et de réponse aux incidents de la NSA et de la CISA sont les suivantes :

• Configuration par défaut de logiciels et d’applications;
• Séparation inadéquate des privilèges de l’utilisateur et de l’administrateur;
• Surveillance insuffisante du réseau interne;
• Absence de segmentation du réseau,
• Mauvaise gestion des correctifs;
• Contournement des contrôles d’accès au système;
• Méthodes d’authentification multifactorielle (MFA) faibles ou mal configurées;
• Listes de contrôle d’accès (ACL) insuffisantes sur les partages et les services du réseau;
• Mauvaise hygiène des informations d’identification ;
• Exécution de code sans restriction.