보안 연구원 제임스 케틀이 HTTP/2 환경의 구현 결함과 표준 허점을 노린 신종 desync 공격 기법을 발표했습니다.
프런트엔드와 백엔드 사이에서 HTTP/1.1로 변환(다운그레이드)될 때 생기는 길이 해석 차이로 넷플릭스 등 대형 인프라가 뚫릴 수 있음을 증명했습니다.
이를 통해 최고액 버그 바운티들을 획득했으며 발견된 취약점들은 패치 후 포상금 절반 이상을 기부했습니다.
요약 PortSwigger의 연구 책임자 제임스 케틀(James Kettle)이 HTTP/2 프로토콜 환경에서 발생하는 치명적인 신종 보안 위협들을 분석한 연구를 발표했습니다. 흔히 웹 서비스 운영자들은 HTTP/2를 보안 영향 없이 전송 계층만 교체할 수 있는 기술로 착각하기 쉽지만, 실제로는 구현상의 결함과 RFC 표준의 허점으로 인해 심각한 취약점이 유발된다는 점을 짚었습니다.
핵심 공격 메커니즘 중 하나로 지목된 것은 바로 'HTTP/2 다운그레이드(HTTP/2 downgrading)' 현상입니다. 프런트엔드 서버는 클라이언트와 최신 HTTP/2로 통신하지만, 백엔드 서버로 요청을 전달하는 과정에서 구형 HTTP/1.1 형식으로 변환하여 전송하면서 문제가 시작됩니다. 이 변환 과정에서 메시지 길이를 계산하고 해석하는 방식의 불일치가 발생하며, 기존의 요청 밀수(Request Smuggling)를 변형한 H2.CL 및 H2.TE 등 신종 디싱크(desync) 공격이 가능해집니다.
연구진은 아마존 애플리케이션 로드 밸런서(ALB), WAF, CDN, 그리고 넷플릭스 등 글로벌 대기업의 자체 인프라를 대상으로 실증 연구를 진행했습니다. 그 결과 클라이언트 하이재킹, 캐시 포이즈닝, 사용자 인증 정보 탈취 등 치명적인 영향력을 확인했으며 다수의 최고액 버그 바운티를 수령했습니다. 연구진은 해당 취약점들이 현재 패치되었으며, 수령한 포상금의 50% 이상을 지역 자선 단체에 기부했다고 덧붙였습니다.