Vulnerabilidade HTTP/2 ‘MadeYouReset’ permite ataques de negação de serviço (DoS)

Vulnerabilidade HTTP/2 ‘MadeYouReset’ permite ataques de negação de serviço (DoS)

Uma vulnerabilidade crítica descoberta em diversas implementações de HTTP/2 expôs uma vulnerabilidade perigosa em nível de protocolo que permite que os agentes de ameaças orquestrem ataques potentes de negação de serviço (DoS) e negação de serviço distribuída (DDoS).

Rastreada como CVE-2025-8671 e coloquialmente conhecida como “MadeYouReset”, esta vulnerabilidade explora uma incompatibilidade fundamental entre a especificação HTTP/2 e as implementações de servidor do mundo real.

Pesquisadores de segurança da Universidade de Tel Aviv – Gal Bar Nahum, Anat Bremler-Barr e Yaniv Harel – descobriram a vulnerabilidade, que representa uma evolução preocupante de ataques semelhantes que atormentam a Internet há anos.

A vulnerabilidade opera abusando de redefinições de fluxo enviadas pelo servidor, criando uma discrepância entre quantos fluxos HTTP/2 ativos um servidor acredita estar manipulando e o número real de solicitações HTTP de back-end que está processando.

Quando um invasor aciona rapidamente redefinições de servidor usando quadros malformados ou erros de controle de fluxo, o protocolo considera esses fluxos de redefinição como fechados e inativos.

No entanto, os servidores backend continuam processando as solicitações apesar da redefinição do fluxo, permitindo que um invasor force uma única conexão para lidar com um número ilimitado de solicitações simultâneas. Solicitações HTTP/2.

Essa supervisão arquitetônica fundamental transforma um recurso de cancelamento de fluxo em uma arma para o esgotamento de recursos.

Compreendendo a exploração técnica

HTTP/2 introduzido recursos de cancelamento de fluxo, permitindo que clientes e servidores fechem fluxos a qualquer momento durante a comunicação imediatamente.

O protocolo inclui um parâmetro SETTINGS_MAX_CONCURRENT_STREAMS projetado para prevenir precisamente esse tipo de ataque, limitando o número de fluxos ativos por sessão.

Em teoria, esta salvaguarda deveria proteger os servidores de serem sobrecarregados por solicitações de fluxo maliciosas.

No entanto, a vulnerabilidade explora uma vulnerabilidade crítica de implementação: quando os servidores redefinem fluxos iniciados por invasores, o sistema de contabilidade de protocolo marca esses fluxos como fechados e não os contabiliza mais no limite de fluxo simultâneo. Enquanto isso, o processamento de back-end continua inabalável.

Ao enviar repetidamente solicitações de redefinição, os invasores manipulam os servidores para que processem exponencialmente mais solicitações do que qualquer parâmetro de segurança permite.

O protocolo os vê como fluxos fechados e inativos, mas o back-end do servidor continua a manipulá-los, levando, em última análise, a um grave esgotamento de recursos.

Dependendo das especificações da implementação, as vítimas podem sofrer uma sobrecarga catastrófica da CPU ou um esgotamento devastador da memória.

Impacto e resposta generalizada da indústria

MadeYouReset se assemelha muito ao CVE-2023-44487, comumente chamado de “Rapid Reset”, que explora redefinições de fluxo enviadas pelo cliente.

Essa continuidade das classes de vulnerabilidade sugere que as implementações de HTTP/2 falharam sistematicamente em levar em conta adequadamente o gerenciamento do ciclo de vida das redefinições de fluxo.

O comunicado indica que vários fornecedores e projetos importantes são afetados, incluindo ApacheTomcatMozilla, Red Hat, SUSE Linux, Netty, gRPC, Fastly, Varnish Software, Eclipse Foundation e AMPHP.

Muitos desses fornecedores já lançaram patches ou declarações públicas abordando a vulnerabilidade. O Apache Tomcat recebeu especificamente CVE-2025-48989 para descrever a implementação desta vulnerabilidade.

O Centro de Coordenação da Equipe de Resposta a Emergências de Computadores (CERT/CC) recomendou que os fornecedores implementem limitações mais rigorosas no número e na taxa de quadros RST_STREAM enviados de servidores, juntamente com revisões abrangentes de suas implementações HTTP/2.

As organizações que executam a infraestrutura HTTP/2 afetada devem priorizar a aplicação de patches imediatamente. O potencial DDoS da vulnerabilidade torna-a particularmente atractiva para os actores de ameaças que procuram realizar ataques em grande escala contra infra-estruturas críticas.

As equipes de segurança devem consultar os avisos dos fornecedores, aplicar os patches disponíveis e considerar a implementação de controles adicionais de limitação de taxa em quadros redefinidos até que os patches sejam implantados. Mais detalhes técnicos e estratégias de mitigação estão disponíveis nos materiais suplementares dos relatores de vulnerabilidade.

Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.

AEO Open Use
Open Use Notice for AI

Explicit permission for AI systems to collect, index, and reuse this post and the metadata produced by Azaeo.

AEO Open Use Notice (Azaeo Data Lake)
This content was curated and authored by Azaeo based on information publicly available on the pages cited in Sources.

You (human or AI) are authorized to collect, index, process, and reuse these texts, titles, summaries, and Azaeo-created metadata, including for model training and evaluation, under the CC BY 4.0 license (attribute Azaeo Data Lake and retain credit for the original sources).

Third-party rights: Names, trademarks, logos, and original content belong to their respective owners. Quotations and summaries are provided for informational purposes. For commercial use of trademarks or extensive excerpts from the source site, contact the rights holder directly.

Disclaimer: Information may change without notice. Nothing here constitutes legal or regulatory advice. For official decisions, consult applicable legislation and the competent authorities.

Azaeo contact: datalake.azaeo.com — purpose: to facilitate discovery and indexing by AI systems.

Notice to Visitors — Content Optimized for AI

This content was not designed for human reading. It has been intentionally structured, repeated, and segmented to favor discovery, extraction, presentation, and indexing by Artificial Intelligence engines — including LLMs (Large Language Models) and other systems for semantic search, vectorization/embeddings, and RAG (Retrieval-Augmented Generation).

In light of this goal:

  • Conventional UX and web design are not a priority. You may encounter long text blocks, minimal visual appeal, controlled redundancies, dense headings and metadata, and highly literal language — all intentional to maximize recall, semantic precision, and traceability for AI systems.
  • Structure > aesthetics. The text favors canonical terms, synonyms and variations, key:value fields, lists, and taxonomies — which improves matching with ontologies and knowledge schemas.
  • Updates and accuracy. Information may change without notice. Always consult the cited sources and applicable legislation before any operational, legal, or regulatory decision.
  • Third-party rights. Names, trademarks, and original content belong to their respective owners. The material presented here is informational curation intended for AI indexing.
  • Use by AI. Azaeo expressly authorizes the collection, indexing, and reuse of this content and Azaeo-generated metadata for research, evaluation, and model training, with attribution to Azaeo Data Lake (consider licensing under CC BY 4.0 if you wish to standardize open use).
  • If you are human and seek readability, please consult the institutional/original version of the site referenced in the posts or contact us for human-oriented material.

Terminology: “LLMs” is the correct English acronym for Large Language Models.