Uma vulnerabilidade de negação de serviço recém-divulgada no protocolo HTTP/2 está levantando preocupações em toda a comunidade de cibersegurança após pesquisadores confirmarem que atacantes não autenticados podem derrubar servidores vulneráveis acionando condições de exaustão de memória. O problema afeta múltiplas implementações de HTTP/2 que falham em gerenciar o consumo de recursos adequadamente ao lidar com fluxos de dados parados, permitindo que atacantes degradem ou interrompam completamente os serviços.
Detalhes técnicos da falha
A vulnerabilidade surge quando um cliente malicioso manipula intencionalmente os parâmetros de controle de fluxo para estagnar a transmissão de dados de saída. Ao definir valores como SETTINGS_INITIAL_WINDOW_SIZE para zero ou ao omitir quadros WINDOW_UPDATE, o atacante efetivamente impede que o servidor envie dados de resposta. Em implementações afetadas, o servidor continua processando solicitações de entrada e gerando respostas completas mesmo sem poder transmiti-las ao cliente.
De acordo com o CERT/CC, os dados de resposta acumulam-se em buffers de memória para cada fluxo paralisado, permitindo que atacantes aumentem rapidamente o uso de memória abrindo múltiplos fluxos e solicitando recursos grandes até que as conexões expirem ou sejam encerradas. Isso leva a uma condição conhecida como amplificação de memória, onde solicitações relativamente pequenas do atacante resultam em consumo de memória desproporcionalmente grande no servidor.
Vulnerabilidades afetadas
A vulnerabilidade recebeu múltiplos CVEs, incluindo CVE-2026-44909, CVE-2026-59173 e CVE-2026-59762, refletindo seu impacto em diferentes fornecedores e implementações. Os fornecedores afetados incluem Apache Traffic Server, Citrix, F5 Networks, Meta, Red Hat, SUSE e Yahoo. Alguns provedores, como Cloudflare e AMD, confirmaram que não são afetados.
Esta questão destaca uma classe mais ampla de fraquezas de nível de protocolo onde recursos legítimos podem ser armados para ataques de negação de serviço. Ao contrário de ataques DDoS volumétricos tradicionais, esta técnica depende de abuso de protocolo e exaustão eficiente de recursos, tornando-a mais difícil de detectar usando mecanismos de filtragem de tráfego padrão.
Impacto operacional
Pesquisadores de segurança da equipe vermelha da Okta, que relataram o problema, demonstraram que esse comportamento pode ser explorado remotamente sem autenticação. Em ambientes de alto recurso, o ataque pode acionar condições de falta de memória, kills OOM do kernel ou thrashing de swap severo, potencialmente tornando os sistemas inresponsivos. Mesmo em configurações mais restritas, os atacantes podem esgotar threads de trabalho ou pools de conexão, impedindo que usuários legítimos acessem serviços.
Mitigação e correções
Os fornecedores começaram a liberar patches e orientações de mitigação. As defesas recomendadas incluem impor limites de memória estritos para respostas em buffer, limitar o número de fluxos HTTP/2 concorrentes por conexão e encerrar ativamente conexões que exibam comportamento de controle de fluxo paralisado. O manuseio adequado de tempo limite e mecanismos de pressão reversa também podem ajudar a reduzir a exposição.
Organizações executando serviços habilitados para HTTP/2 são fortemente aconselhadas a revisar os avisos dos fornecedores e aplicar atualizações o mais rápido possível. Monitorar padrões anormais de uso de memória e comportamento incomum de fluxo HTTP/2 também pode ajudar a detectar tentativas de exploração em tempo real.
O que os CISOs devem fazer agora
Como o HTTP/2 permanece um componente crítico da infraestrutura web moderna, esta vulnerabilidade sublinha a importância de salvaguardas de implementação robustas para impedir que recursos de protocolo sejam transformados em vetores de ataque. A atualização imediata dos servidores web e a configuração de limites de memória são essenciais para proteger a disponibilidade dos serviços.