Investigadores de Google y Cloudflare han descubierto una vulnerabilidad crítica en el protocolo HTTP/2, que ha sido asignada la CVE-2025-25063. Esta falla ya está siendo utilizada para lanzar ataques DDoS a gran escala.
Vulnerabilidad y mecanismo de ataque
La vulnerabilidad afecta a múltiples implementaciones del protocolo HTTP/2. El ataque explota la gestión de flujos en HTTP/2 al enviar múltiples solicitudes con reset frames que obligan al servidor a reiniciar procesos de manera continua.
Google explicó que, en pruebas de laboratorio, un atacante con un ancho de banda limitado fue capaz de generar un efecto de denegación de servicio con miles de veces más impacto del que su capacidad real permitiría.
Riesgos asociados
La vulnerabilidad puede provocar agotamiento rápido de CPU y memoria. Además, los ataques distribuidos pueden colapsar infraestructuras críticas en segundos.
Mitigaciones recomendadas
- Aplicar parches a servidores y librerías HTTP/2 tan pronto como estén disponibles.
- Implementar límites de solicitudes por conexión para reducir la superficie de ataque.
- Desplegar sistemas de mitigación DDoS que monitoricen patrones anómalos de tráfico.
- Considerar temporalmente deshabilitar HTTP/2 en entornos críticos donde no sea esencial.
Reconocimiento oficial
La CISA ha incluido la falla en su catálogo de vulnerabilidades activamente explotadas.