- Aktif istismar
- CWE-400
CVE-2023-44487
HTTP/2 protokolünde Rapid Reset saldırısına açık hizmet dışı bırakma zafiyeti
- Yayımlandı
- Güncellendi
- 15 Eki 2026
- Açık yaşı
- 1114 gün
- Kaydı açan
- mitre
ÖzetTürkçe
HTTP/2 protokolü, istek iptalinin birçok akışı hızla sıfırlayabilmesi nedeniyle hizmet dışı bırakmaya (sunucu kaynaklarının tüketilmesi) izin verir. Bu zafiyet, Ağustos ile Ekim 2023 arasında gerçek dünyada istismar edilmiştir.
Kaynaktaki açıklama (İngilizce)
The HTTP/2 protocol allows a denial of service (server resource consumption) because request cancellation can reset many streams quickly, as exploited in the wild in August through October 2023.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| IETF HTTP/2 | Sürüm belirtilmemiş | – |
Kaynaklar27 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…c1dec1ce9ec/release-notes/6.0/6.0.23/6.0.23.md Diğer
- blog.cloudflare.com/…hnical-breakdown-http2-rapid-reset-ddos-attack Diğer
- aws.amazon.com/security/security-bulletins/AWS-2023-011 Diğer
- cloud.google.com/…-works-the-novel-http2-rapid-reset-ddos-attack Diğer
- nginx.com/…rapid-reset-attack-impacting-f5-nginx-products Diğer
- cloud.google.com/…gest-ddos-attack-peaking-above-398-million-rps Diğer
- news.ycombinator.com/item Diğer
- blog.cloudflare.com/…-rapid-reset-http2-record-breaking-ddos-attack Diğer
- phoronix.com/news/HTTP2-Rapid-Reset-Attack Diğer
- github.com/envoyproxy/envoy/pull/30055 Diğer
- github.com/haproxy/haproxy/issues/2312 Diğer
- github.com/eclipse/jetty.project/issues/10679 Diğer
- forums.swift.org/…ecurity-update-cve-2023-44487-http-2-dos/67764 Diğer
- github.com/nghttp2/nghttp2/pull/1961 Diğer
- github.com/…ommit/58f75f665aa81a8cbcf6ffa74820042a285c5e61 Diğer
- github.com/alibaba/tengine/issues/1872 Diğer
- github.com/…/tomcat/tree/main/java/org/apache/coyote/http2 Diğer
- news.ycombinator.com/item Diğer
- news.ycombinator.com/item Diğer
- github.com/caddyserver/caddy/issues/5877 Diğer
- bleepingcomputer.com/…apid-reset-zero-day-attack-breaks-ddos-records Diğer
- github.com/bcdannyboy/CVE-2023-44487 Diğer
- github.com/grpc/grpc-go/pull/6703 Diğer
- github.com/…2aa2ad4ed960a6b32cd35bcf0a/mod_http2/README.md Diğer
- github.com/nghttp2/nghttp2/releases/tag/v1.57.0 Diğer
Kayıt geçmişi
- Yayımlandı
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.