nghttp2 es una biblioteca C de código abierto fundamental que implementa el protocolo HTTP/2. Está ampliamente integrada en la infraestructura crítica de Internet, incluyendo servidores web (como Apache y NGINX), redes de distribución de contenido (CDN), balanceadores de carga y proxies de aplicaciones. La ubicuidad de la biblioteca implica que una vulnerabilidad puede tener un impacto generalizado en la web.

Esta vulnerabilidad representa un riesgo elevado para cualquier organización que gestione servicios expuestos al público que utilicen la biblioteca nghttp2. Un exploit exitoso permite a un atacante remoto no autenticado desencadenar un Denial of Service (DoS), causando el bloqueo de aplicaciones web y API críticas. La complejidad del ataque es baja, requiriendo solo la capacidad de enviar tráfico HTTP/2 especialmente diseñado.

Esta falla es una variante de la técnica de ataque “HTTP/2 CONTINUATION Flood”, divulgada públicamente y objeto de discusión activa entre los investigadores de seguridad. Aunque no se ha confirmado ningún kit de exploit público específico, la simplicidad del vector de ataque indica una alta probabilidad de weaponization y un potencial aprovechamiento en entornos reales. Todos los sistemas expuestos a Internet que utilicen una versión vulnerable de la biblioteca deben considerarse en riesgo inmediato.

Producto	nghttp2
Fecha	2025-12-06 00:29:50

Resumen técnico

La causa principal de esta vulnerabilidad se clasifica como CWE-400: Uncontrolled Resource Consumption. Se deriva de la forma en que la biblioteca nghttp2 gestiona los frames HEADERS HTTP/2 entrantes que superan los límites configurados en el servidor.

La secuencia técnica del ataque es la siguiente:

1. El atacante establece una conexión HTTP/2 con un servidor de destino que ejecuta una versión vulnerable de la biblioteca nghttp2.
2. El atacante envía un flujo continuo de frames HEADERS, violando intencionadamente los límites de flujo preconfigurados.
3. La biblioteca reconoce correctamente la violación y se prepara para enviar una respuesta de error 413 Payload Too Large. Sin embargo, para generar esta respuesta, comienza a almacenar en búfer los encabezados entrantes, los cuales son excesivos.
4. El cliente del atacante evita deliberadamente leer la respuesta del servidor. Esto mantiene la conexión abierta y permite al cliente continuar enviando un número ilimitado de encabezados.
5. El búfer del lado del servidor dentro de la biblioteca nghttp2 crece sin límites a medida que encola los encabezados del atacante, lo que conduce a una asignación incontrolada de memoria.
6. Esta rápida y continua asignación de memoria agota finalmente toda la memoria disponible para el proceso del servidor, causando su terminación por parte del sistema operativo y provocando un Denial of Service definitivo.

Versiones afectadas: Todas las versiones de nghttp2 anteriores a las versiones correctivas son vulnerables. Consulte los avisos específicos de los proveedores para los productos que incluyen la biblioteca.

Versiones correctivas: La vulnerabilidad ha sido resuelta en las versiones más recientes de la biblioteca nghttp2. Los administradores deben actualizar a la última versión segura proporcionada por sus respectivos proveedores upstream.

Recomendaciones

• Aplicar el parche inmediatamente: Actualizar todos los sistemas que utilicen la biblioteca nghttp2 a una versión corregida. Consulte los avisos de los proveedores de software (ej. proveedores de servidores web, distribuidores de sistemas operativos) para obtener las actualizaciones de seguridad adecuadas.

• Mitigaciones:

  • Si la actualización inmediata no es posible, considere aplicar reglas de limitación de tasa (rate-limiting) en el perímetro de la red (ej. WAF, balanceador de carga) para limitar el número de nuevas conexiones HTTP/2 o la frecuencia de los datos entrantes desde una única dirección IP.
  • Como último recurso para sistemas críticos, la desactivación temporal del protocolo HTTP/2 y el retorno a HTTP/1.1 puede mitigar esta amenaza específica, aunque puede tener implicaciones en el rendimiento.

• Caza de amenazas y monitoreo:

  • Monitorear el uso de memoria en los servidores expuestos a la web para detectar picos repentinos e inexplicables. Correlacionar estos picos con el proceso del servidor que gestiona el tráfico HTTP/2.
  • Analizar el tráfico de red para identificar una tasa anormalmente alta de frames HEADERS HTTP/2 provenientes de una única dirección IP sin datos correlacionados o finalización del flujo.
  • Verificar los registros (logs) de los servidores web o de las aplicaciones para detectar patrones de conexiones repetidas que se abren pero nunca se cierran correctamente.

• Respuesta a incidentes:

  • Si se sospecha de un ataque DoS, implementar inmediatamente un bloqueo temporal de las direcciones IP de origen involucradas a través del firewall o WAF.
  • Antes de reiniciar el servicio que ha colapsado, si es posible, adquiera un volcado de memoria (memory dump) del proceso, ya que puede ser útil para el análisis forense.
  • Conservar las capturas de paquetes de red y los registros del servidor pertinentes al momento del incidente para futuras investigaciones.

• Defensa en profundidad:

  • Asegurarse de que los servicios críticos estén configurados con capacidades de reinicio automático (ej. mediante systemd u otros gestores de servicios) para minimizar el tiempo de inactividad en caso de bloqueo.
  • Implementar sistemas de monitoreo y alerta del uso de recursos para proporcionar un aviso temprano en caso de ataques de agotamiento de memoria.

[Callforaction-THREAT-Footer]