В России обнаружена уязвимость MadeYouReset, позволяющая запускать DDoS-атаки

Компания «Нейроинформ» сообщила о появлении новой уязвимости MadeYouReset (CVE-2025-8671), которая затрагивает реализацию протокола HTTP/2 в ряде веб-серверов и может использоваться для проведения DDoS-атак.

MadeYouReset по своей сути близка к известной уязвимости Rapid Reset (CVE-2023-44487), обнаруженной в 2023 году. Обе эксплуатируют сброс потоков в HTTP/2 (RST_STREAM), однако в новом случае уязвимость активируется иначе: если Rapid Reset инициировался клиентом, то при MadeYouReset сброс выполняет сам сервер, что позволяет обойти уже внедрённые ранее защиты. В результате злоумышленник может перегрузить сервер множественными «мусорными» потоками и вызвать отказ в обслуживании.

По данным зарубежных исследователей, уязвимость затрагивает целый ряд популярных продуктов: Apache Tomcat, Netty, Jetty, Varnish, F5 BIG-IP, IBM WebSphere Liberty и другие серверные решения. Для многих из них уже выпущены обновления безопасности. Компании Cloudflare и Akamai заявили, что их инфраструктуры не подвержены атаке благодаря защитам, внедренным еще во время противодействия Rapid Reset.

CERT/CC отмечает, что спецификация HTTP/2 (RFC 9113) изначально предупреждала о риске перегрузки серверов через механизмы сброса потоков, но не все разработчики учли эти рекомендации при реализации протокола. В результате часть веб-серверов оказалась уязвимой.

Рекомендации по снижению рисков включают:

• установку последних обновлений серверного ПО;
• при необходимости временное отключение поддержки HTTP/2 в конфигурации (например, для IIS и некоторых прокси-серверов);
• использование специализированных средств защиты от DDoS.

По оценке «Нейроинформ», несмотря на предпринимаемые меры, угроза остаётся актуальной. Специалисты советуют администраторам серверов оперативно проверить используемые реализации HTTP/2 и следить за публикацией патчей вендоров.