MadeYouReset: nueva vulnerabilidad en HTTP/2 permite ataques DDoS masivos

¿Cómo funciona MadeYouReset? El ataque explota la gestión de flujos en HTTP/2, enviando múltiples solicitudes con reset frames que obligan al servidor a reiniciar procesos de manera continua. El resultado es un agotamiento rápido de CPU y memoria, abriendo la puerta a ataques distribuidos capaces de colapsar infraestructuras críticas en segundos. Google explicó que, en pruebas de laboratorio, un atacante con un ancho de banda limitado fue capaz de generar un efecto de DoS con miles de veces más impacto del que su capacidad real permitiría

[#4 megusta]

Cloudflare tiene un post corregido que parece quitar hierro al asunto blog.cloudflare.com/madeyoureset-an-http-2-vulnerability-thwarted-by-r

"This vulnerability exists in a limited number of unpatched HTTP/2 server implementations"
"Cloudflare was informed of this vulnerability in May through a coordinated disclosure process"

[#6 frg]

#4 También habla de una librería en Ruby que puede ser la más afectada, pero Google menciona Tomcat, F5 y alguno más ...

[#1 vawen]

Voto como errónea, el artículo indica mal el CVE (CVE-2025-25063), en realidad es CVE-2025-8671

[#2 Toranks]

#1 No es un error de la noticia
www.hackplayers.com/2025/08/madeyoureset-cve-2025-8671-el-dos.html

Nota: «Aunque el repo se refiere a CVE-2025-25063, el CVE públicamente reconocido y utilizado en todos los advisories es CVE-2025-8671»

[#3 EmuAGR]

Vaya, Google desprestigiando tecnologías anteriores a su QUIC/HTTP3 cuando no termina de despegar (es difícil de implementar en un servidor propio con Nginx).

[#5 covacho]

#3 que recuerde, http2 también es de Google