Lỗ hổng DoS trong chuyển đổi HTTP/3 của CDN có thể khuếch đại lưu lượng tới 350 lần
"Researchers disclosed two DoS techniques, CDN Tsunami, that abuse CDN translation from client-facing HTTP/3 to origin-facing HTTP/1.1 to amplify low-bandwidth traffic by up to 350x against origin servers. The attacks use QPACK-based bandwidth amplification and connection exhaustion, affect major CDNs including Alibaba, Baidu, Cloudflare, Amazon CloudFront, Fastly, and Tencent, and were mitigated at the CDN layer; no CVEs were assigned and no in-the-wild exploitation was reported."
Rủi ro chính là khuếch đại DoS từ lưu lượng nhỏ thành tải lớn tại origin, cùng với cạn kiệt kết nối backend. Chưa có CVE và chưa thấy khai thác ngoài thực tế, nhưng tác động có thể đáng kể nếu dịch vụ dùng HTTP/3 qua CDN.
Có thể gây gián đoạn dịch vụ, tăng độ trễ và làm phát sinh quá tải hạ tầng ở origin. Các đội vận hành cần ưu tiên kiểm tra cấu hình CDN và năng lực chịu tải để giảm nguy cơ ảnh hưởng đến SLA.
Các nhà nghiên cứu đã công bố hai kỹ thuật tấn công từ chối dịch vụ (DoS), gọi chung là CDN Tsunami, khai thác cách các CDN chuyển đổi lưu lượng HTTP/3 từ phía người dùng sang HTTP/1.1 ở phía origin. Theo kết quả thử nghiệm, một luồng yêu cầu băng thông thấp có thể bị khuếch đại lên tới 350x khi tác động vào máy chủ gốc.
Hai biến thể được đặt tên là HTTP/3 Bandwidth Amplification (HBA) và HTTP/3 Connection Amplification (HCA). HBA lợi dụng QPACK để làm tăng chi phí xử lý ở origin, trong khi HCA nhắm vào cạn kiệt kết nối bằng cách giữ các kết nối backend mở lâu hơn bình thường. Nghiên cứu được kiểm tra trên Alibaba, Baidu, Cloudflare, Amazon CloudFront, Fastly và Tencent; cả sáu đều có thể bị ảnh hưởng bởi biến thể băng thông, còn biến thể kết nối ảnh hưởng đến năm nhà cung cấp.
Không có CVE nào được gán và chưa ghi nhận khai thác thực tế. Các biện pháp giảm thiểu được áp dụng ở lớp CDN, không phải tại website origin. Đội vận hành nên rà soát cấu hình HTTP/3, giới hạn stream/connections, theo dõi bất thường ở backend TCP connections và cập nhật theo hướng dẫn giảm thiểu từ nhà cung cấp CDN.