HTTP/2快速重置攻击：CVE-2023-44487原理与SwiftNIO修复分析

🔓 Medium 漏洞利用

攻击者利用HTTP/2协议的RST_STREAM帧机制，在发送请求后立即重置流，导致服务器端承担昂贵的解析与资源分配开销而客户端几乎零成本，形成成本不对称的拒绝服务攻击。该漏洞影响多个HTTP/2实现，包括SwiftNIO，攻击者可通过大量快速创建并重置流来耗尽服务器EventLoop资源。

来源：OSV | 2023-10-10 | 原文链接

🔍 关键发现

• HTTP/2协议允许客户端单方面发送RST_STREAM帧取消流，无需与服务器协调，且取消立即生效。
• 攻击者利用此特性在发送请求后立即重置，使服务器仍要完成解析、解压缩、映射URL等大量工作，而客户端几乎不消耗资源。
• SwiftNIO-http2 1.28版本通过滑动窗口限制单位时间内流重置次数，超限则断开连接，从而缓解该攻击。

⚔️ 攻击链分析

1. 攻击者与目标服务器建立HTTP/2连接；2. 同时发送大量请求帧，并在每个请求后立即发送RST_STREAM帧重置流；3. 服务器为每个请求分配流数据结构、解析头部、解压缩、映射资源，甚至可能代理到后端，造成大量计算开销；4. 攻击者持续操作，使服务器EventLoop过载，无法处理合法请求，导致拒绝服务。

🚩 失陷指标 (IOC)

• 短时间内同一连接上出现大量RST_STREAM帧与请求帧交替的模式
• 服务器日志中大量流被快速创建和重置，且无对应响应

🛡️ 缓解建议

• ✅ 升级SwiftNIO-http2至1.28或更高版本，启用基于滑动窗口的流重置速率限制。
• ✅ 在反向代理或负载均衡器层面实施HTTP/2连接级速率限制，限制单位时间内允许的流重置次数。
• ✅ 监控并告警异常高的RST_STREAM帧比率，结合网络带宽和RTT基线进行异常检测。

涉及漏洞：["CVE-2023-44487"]

⚠️ 本文仅供安全研究与学习，IOC 信息请勿用于非法目的。