Атака HTTP/2 Rapid Reset использует механизм отмены потоков (RST_STREAM) в протоколе HTTP/2. Злоумышленник открывает большое количество потоков и немедленно отменяет каждый из них с помощью RST_STREAM, заставляя сервер обрабатывать огромное количество запросов. Это позволяет организовать DDoS с минимальными ресурсами на стороне атакующего. В 2023 году через эту уязвимость были проведены крупнейшие в истории интернета DDoS-атаки — более 398 миллионов запросов в секунду. Атаки затронули AWS, Cloudflare, Google и множество других провайдеров.

• nginx  /  nginx
  Версии: < 1.25.3
• Apache Software Foundation  /  Apache HTTP Server
  Версии: < 2.4.58
• HAProxy Technologies  /  HAProxy
  Версии: < 2.8.3

• → CVE Record
• → Cloudflare: Zero-Day Rapid Reset
• → NVD — National Vulnerability Database