ช่องโหว่ QPACK ใหม่ ถล่มเซิร์ฟเวอร์ HTTP/3 เพียงการเชื่อมต่อเดียว

บริษัทรักษาความปลอดภัยทางไซเบอร์ FoxIO เปิดเผยช่องโหว่ใหม่ในโปรโตคอล QPACK ซึ่งเป็นส่วนหนึ่งของมาตรฐาน HTTP/3 โดยช่องโหว่ดังกล่าวทำให้ผู้ไม่หวังดีที่ยังไม่ได้เข้าสู่ระบบสามารถสั่งให้เซิร์ฟเวอร์หยุดทำงานได้ด้วยการเชื่อมต่อเพียงครั้งเดียว พร้อมเผยแพร่โค้ดตัวอย่างสำหรับทดสอบการโจมตี

ช่องโหว่นี้ถือเป็นความเสี่ยงร้ายแรงสำหรับผู้ให้บริการเว็บไซต์ที่ใช้โปรโตคอล HTTP/3 เนื่องจากผู้โจมตีไม่จำเป็นต้องมีบัญชีผู้ใช้หรือข้อมูลยืนยันตัวตนใดๆ ก็สามารถก่อเหตุได้ทันที

กลไกการโจมตี

ผู้โจมตีจะส่งชุดข้อมูลส่วนหัว HTTP ที่ผ่านการบีบอัดขนาดเล็กเข้าไปยังเซิร์ฟเวอร์ เมื่อเซิร์ฟเวอร์ทำการขยายข้อมูลดังกล่าวในหน่วยความจำ ข้อมูลจะถูกขยายออกเป็นปริมาณมหาศาล ส่งผลให้เซิร์ฟเวอร์ต้องใช้หน่วยความจำมากกว่าที่ได้รับข้อมูลเข้ามาเป็นพันเท่า

เทคนิคนี้อาศัยจุดอ่อนของการบีบอัดข้อมูลส่วนหัวใน QPACK ที่อนุญาตให้มีการขยายข้อมูลในสัดส่วนที่ไม่สมดุล ทำให้ทรัพยากรของเซิร์ฟเวอร์ถูกใช้งานจนหมดอย่างรวดเร็ว

ผลกระทบต่อเซิร์ฟเวอร์

หน่วยความจำของเซิร์ฟเวอร์ถูกใช้งานมากเกินกว่าที่ตั้งค่าไว้ จนไม่สามารถให้บริการคำขออื่นๆ ได้อีก ส่งผลให้เว็บไซต์หยุดตอบสนองหรือล่มทั้งระบบ ซึ่งการขยายตัวของหน่วยความจำสูงสุดสามารถทวีคูณได้ถึง 4,000 เท่าจากข้อมูลตั้งต้นที่ผู้โจมตีส่งเข้าไป

การโจมตีใช้ทรัพยากรจากฝั่งผู้โจมตีเพียงเล็กน้อย แต่สร้างภาระมหาศาลให้กับเซิร์ฟเวอร์ จึงจัดเป็นการโจมตีแบบปฏิเสธการให้บริการที่มีประสิทธิภาพสูง

การเปิดเผยและโค้ดตัวอย่าง

ทีมวิจัยของ FoxIO ได้เผยแพร่โค้ดตัวอย่างสำหรับทดสอบการโจมตี เพื่อให้ผู้ดูแลระบบสามารถตรวจสอบความเสี่ยงและอัปเดตแพตช์ได้ทันท่วงที การเปิดเผยในครั้งนี้มีขึ้นเพื่อกระตุ้นให้ผู้พัฒนาซอฟต์แวร์เซิร์ฟเวอร์เร่งแก้ไขจุดอ่อนในการประมวลผลข้อมูล QPACK

ผู้ดูแลระบบที่ใช้เซิร์ฟเวอร์ HTTP/3 ควรติดตามการอัปเดตจากผู้พัฒนาซอฟต์แวร์อย่างใกล้ชิด และพิจารณาจำกัดอัตราส่วนการขยายตัวของข้อมูลส่วนหัว เพื่อลดความเสี่ยงจากการโจมตีในลักษณะนี้

Reference

The Hacker News

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

💬 Line @monsteronline

☎️ Tel 02-026-6664

📩 Email [email protected]

🌐 Website mon.co.th