HTTP/2 Rapid Reset, HTTP/2 protokolünün aynı bağlantı üzerinde çok sayıda paralel akış açabilme ve bir akışı istemci tarafından anında iptal edebilme özelliğini silah hâline getiren bir saldırıdır. 2023 sonunda CVE-2023-44487 olarak duyurulan bu teknik, o güne dek kaydedilen en yüksek hacimli hizmet reddi dalgalarından bazılarına yol açmıştır.

Rapid Reset, HTTP/2’nin aynı bağlantıda akış açıp iptal etme serbestliğini bir maliyet asimetrisine çevirerek sunucuyu kendi kaynaklarıyla tüketen saldırıdır.

Saldırı Nasıl Gerçekleşir?

HTTP/2’de istemci bir isteği başlatmak için HEADERS çerçevesiyle akış açar, sonra RST_STREAM çerçevesiyle bu akışı iptal edebilir. Rapid Reset’te saldırgan bu iki adımı ard arda, neredeyse eşzamanlı yapar: akışı açar ve daha yanıt üretilmeden iptal eder. İstemci tarafında iptal edilen akış hemen serbest kaldığı için, açık akış sayısını sınırlayan koruma devreye girmez ve saldırgan tek bir bağlantıdan saniyede on binlerce istek üretebilir.

Asıl sorun maliyet dengesizliğidir. İstemci için akış açıp iptal etmek neredeyse bedavayken, sunucu her istek için istek işleme mantığını, arka uç sorgularını ve kaynak tahsisini başlatmak zorunda kalır. İptal geldiğinde bu iş çoktan yapılmıştır. Bu asimetri, saldırıyı klasik bir dağıtık hizmet reddi dalgasından çok daha verimli kılar; aynı yükü çok daha az bant genişliğiyle yaratır.

Neden Bu Kadar Etkili?

Geleneksel bir hizmet reddi saldırısı genellikle sunucuyu ham trafik hacmiyle boğar ve bant genişliği kaynaklı olarak ağ katmanında görünür. Rapid Reset ise az sayıda bağlantı üzerinden geçerli görünen istekler ürettiği için ağ metriklerinde alarm vermeden uygulama katmanını tüketir. Standart HTTP/2 çerçeveleri kullandığından, protokol ihlaline dayalı basit filtreler onu ayırt edemez.

Tespit ve Azaltma

Etkili savunma, bağlantı başına açılan ve iptal edilen akışların oranını izlemekten geçer. Kısa sürede olağandışı yüksek RST_STREAM oranı gösteren bağlantıları hız sınırına almak veya kapatmak temel önlemdir. Sunucu ve ters proxy yazılımlarının açıklama sonrası çıkan yamaları, bağlantı başına iptal bütçesi ve eşzamanlı akış tavanı gibi kontroller getirmiştir. Uygulama önündeki bir web uygulama güvenlik duvarı anormal akış davranışını bağlantı bazında değerlendirerek bu trafiği erkenden düşürebilir.

Rapid Reset’e dayanıklılık, tek bir yama değil sunucu yapılandırması, ters proxy katmanı ve kaynak sınırlarının birlikte tasarlanmasıyla sağlanır. Privia Security’nin altyapı ve mimari gözden geçirme hizmeti HTTP/2 uç noktalarının bu tür akış tabanlı istismarlara karşı yapılandırmasını denetler.