「HTTP/2」実装に「MadeYouReset」脆弱性 - DoS攻撃のおそれ

「HTTP/2」を実装する複数のソフトウェアにおいて、DoS攻撃を受けるおそれがある脆弱性「MadeYouReset」が明らかとなった。一部ソフトウェアでは、修正パッチの提供を開始している。

現地時間2025年8月13日、CERT/CCがセキュリティアドバイザリを公開し、「HTTP/2」の実装不備に起因する脆弱性「CVE-2025-8671」について明らかにしたもの。脆弱性は別名「MadeYouReset」と呼ばれている。

サーバに不要なリクエスト処理を継続させることで、リソースを枯渇させることが可能となり、2023年に判明した別名「Rapid Reset」としても知られる脆弱性「CVE-2023-44487」との類似性も指摘されている。

具体的には、「HTTP/2」においてクライアントやサーバが任意のタイミングでストリームをリセットできる仕様となっているが、多くの環境でリセット後もサーバのバックエンドにおいてリクエスト処理が継続されるなど仕様とは異なる実装であることが判明した。

攻撃者が大量のリクエストを行い、継続的にストリーム接続のリセット要求を送りつけることで帯域やCPUなどのリソースを浪費させることが可能。サービス拒否に追い込まれるおそれがある。

（Security NEXT - 2025/08/15 ）ツイート