「ラピッドリセット攻撃」が発生 - 1秒間で約4億リクエスト

「HTTP/2ラピッドリセット攻撃」は、Cloudflareでも対しても展開されており、1秒あたり2億100万リクエストを観測。Amazon Web Services（AWS）においても、1秒あたり1億5500万リクエストを受けた。

Cloudflareは、約2万台で構成されたボットネットを使用した攻撃だったと分析。ボットネットは数十万台から数百万台規模で稼働しており、こうしたボットネットを悪用すれば、1秒あたり10から30億件とされるウェブ全体のリクエストを大きく上回る攻撃が可能になると影響の大きさを強調している。

またGoogleによれば、「HTTP/2ラピッドリセット攻撃」は10月に入ってからも続いており、派生した攻撃手法も観測されているという。

脆弱性「CVE-2023-44487」の判明を受け、協調のもとベンダー間において情報共有が進められている。各社が定例のセキュリティアップデートを公開する米時間毎月第2火曜日、いわゆる「パッチチューズデー」にあたる10月10日には、パッチやアップデートの提供などもはじまった。

マイクロソフトでは、月例セキュリティ更新にあわせてアップデートをリリース。「Apache Tomcat」「Jetty」「H2O」「Nghttp2」「Netty」「golang」などもパッチやアップデートを公開している。

（Security NEXT - 2023/10/13 ）ツイート