IETF HTTP/2 の脆弱性（CVE-2023-44487）

何が起きた

Web の通信の決まり（プロトコル）である HTTP/2 に、リクエストを送ってはすぐ取り消すことをすばやく繰り返すと、サーバーの処理能力を使い果たさせられる弱点があります（Rapid Reset と呼ばれます）。ログインも利用者の操作も不要で、ネットワーク経由で攻撃できます。NVD によると、2023年8月から10月にかけて実際に悪用され、大規模な分散型サービス妨害（DDoS）攻撃に使われました。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

HTTP/2 に対応した Web サーバーやプロキシ、クラウドのサービスなどを運用している組織が対象です。弱点は HTTP/2 の決まりそのものにあるため、多くの製品が関係します。どの製品のどのバージョンが影響を受けるかは、このデータからは不明で、製品ごとのメーカーの情報で確かめる必要があります。

何をすればいい

使っている Web サーバーやプロキシなどのメーカーが出している更新や対策を当ててください。対策がない製品は、使うのをやめることも検討してください。クラウドのサービスを使っている場合も、提供元の案内を確認してください。それぞれのメーカーの公式の案内を確認してください。

やることチェックリスト

• HTTP/2 対応の製品にメーカーの更新を当てる
• 対策のない製品は使うのをやめる
• クラウドのサービスの提供元の対策を確かめる

用語メモ

HTTP/2

Web サイトとブラウザの間でデータをやり取りするための通信の決まりの新しい版です。1本の接続で複数のやり取りを同時に行えます。

分散型サービス妨害（DDoS）攻撃

たくさんの機器から一斉に大量の通信を送り、サービスを使えなくする攻撃です。

プロキシ

利用者とサーバーの間に入って通信を中継するサーバーのことです。