HTTP/1.1 снова под ударом: уязвимость угрожает миллионам сайтов

HTTP/1.1 снова под ударом: уязвимость угрожает миллионам сайтов

HTTP/1.1 снова под ударом: уязвимость угрожает миллионам сайтов

Исследователи из PortSwigger снова подняли тревогу: устаревший протокол HTTP/1.1 по-прежнему таит в себе серьёзную уязвимость, из-за которой под ударом оказываются миллионы сайтов. Несмотря на то что о проблеме известно уже с 2019 года, корневая причина так и не устранена.

Речь идёт о так называемых HTTP desync-атаках — когда злоумышленник отправляет специально оформленные запросы, которые сервер и прокси-системы интерпретируют по-разному.

В итоге можно «впихнуть» вредоносный запрос, который обходит защиту и выполняется на бэкенде как нормальный. Такие атаки используют расхождения в обработке HTTP-заголовков — особенно в том, где один запрос заканчивается и начинается следующий. И эта путаница заложена в саму архитектуру HTTP/1.1.

Что ещё хуже — даже те меры защиты, которые разработчики вводили за последние шесть лет, исследователям удавалось обойти. И не один раз.

Команда PortSwigger опубликовала новую волну исследований, показав, что десинхронизация до сих пор работает — и позволяет атаковать даже крупные CDN и десятки миллионов сайтов. Они призывают к радикальным мерам: полностью отказаться от HTTP/1.1. Кампания даже получила громкое название — «HTTP/1.1 Must Die: The Desync Endgame».

По словам специалистов, просто включить HTTP/2 на внешних серверах недостаточно. Уязвимость кроется глубже — в соединениях между реверс-прокси и самими серверами приложений. Если эти внутренние звенья всё ещё используют HTTP/1.1, атака возможна.

Что делать? Вот рекомендации исследователей:

  • Внедрить поддержку HTTP/2 не только на границе, но и на всех внутренних каналах между прокси и сервером;
  • Убедиться, что backend умеет работать с HTTP/2;
  • Если отказаться от HTTP/1.1 пока не получается — включить проверку и нормализацию HTTP-запросов на фронте;
  • По возможности отключить повторное использование соединений на промежуточных участках;
  • И, конечно, поговорить с поставщиками решений: поддерживают ли они безопасную работу через HTTP/2.

Кроме того, в сообществе уже появились инструменты, которые помогут проверять свои ресурсы на уязвимость — например, HTTP Request Smuggler v3.0 и HTTP Hacker. Эти утилиты пригодятся для регулярных сканирований и укрепления защиты.

Главный вывод: пора уходить от HTTP/1.1. Чем дольше индустрия тянет с переходом на современные протоколы, тем больше шансов, что уязвимости продолжат использовать. И никакие заплатки здесь уже не помогут.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

19-летнего британца обвинили в атаках Scattered Spider на суды США

Минюст США раскрыл обвинения против 19-летнего жителя Восточного Лондона Талхи Джубайра. По версии следствия, он причастен как минимум к 120 кибератакам, в том числе на систему судов США. Общий ущерб оценивается более чем в $115 млн.

Джубайра арестовали 17 сентября в его доме, сообщило Национальное агентство по борьбе с преступностью (NCA).

В тот же день в Лондоне перед судом предстал и его предполагаемый сообщник — 18-летний Оуэн Флауэрс. Их обвиняют в атаке на ИТ-систему Transport for London в 2024 году, после которой транспортное ведомство несколько месяцев восстанавливало работу.

По данным NCA, за атакой стояла группировка Scattered Spider — англоязычная команда молодых хакеров, известная агрессивными методами социальной инженерии и связями с криминальным сообществом «the Com».

Что известно о действиях Джубайра:

  • В июле 2024 года ФБР изъяло серверы, которые, как утверждается, он контролировал. Там нашли следы взлома более 120 компаний, включая 47 в США.
  • Среди жертв был объект критической инфраструктуры в Нью-Джерси, а также сама система судов США.
  • В январе 2025 года хакеры через техподдержку получили доступ к трем аккаунтам, включая учетку федерального судьи. С их помощью искали данные о Scattered Spider и даже отправили фальшивый запрос в финкомпанию, чтобы выманить пользовательские данные.
  • На сервере обнаружили криптокошелёк примерно с $36 млн, из которых $8,4 млн удалось вывести уже в момент изъятия.

Сейчас оба подростка находятся под арестом, их ждёт новое судебное заседание. Будет ли США добиваться экстрадиции Джубайра, пока неизвестно.

Ранее мы писали, что в США вынесли приговор одному из ключевых участников кибергруппы Scattered Spider — 25-летнему Ноа Майклу Урбану. Суд назначил ему 10 лет лишения свободы и обязал выплатить $13 млн компенсации жертвам.

А в апреле суд Флориды заслушал заявление Ноя Урбана (Noah Michael Urban) о признании вины в рамках двух уголовных дел о коллективной краже криптовалюты через фишинг (второе с тем же фигурантом рассматривают в Калифорнии).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru