Red Hot Cyber

La ciberseguridad se comparte. Reconozca el riesgo, combátalo, comparta sus experiencias y anime a otros a hacerlo mejor que usted.
Buscar

¡HTTP/1.1 debe desaparecer! Vulnerabilidades críticas ponen en riesgo millones de sitios web.

Redazione RHC : 8 agosto 2025 17:10

Expertos en seguridad han revelado una falla crítica de seguridad en HTTP/1.1, lo que pone de relieve una amenaza que ha seguido afectando a la infraestructura web durante más de seis años, potencialmente afectando a millones de sitios web a pesar de los continuos esfuerzos para contenerla. Investigadores de PortSwigger revelan que HTTP/1.1 sigue siendo inherentemente inseguro, exponiendo regularmente a millones de sitios web a intentos de adquisición hostil mediante sofisticados ataques de desincronización HTTP.

La empresa de ciberseguridad informó sobre la introducción de varios tipos nuevos de este tipo de ataques, que expusieron fallas críticas, afectaron a decenas de millones de sitios web y debilitaron la infraestructura principal de múltiples redes de entrega de contenido (CDN). A pesar de los esfuerzos de los proveedores, que han implementado diversas estrategias de contención durante los últimos seis años, los investigadores han logrado superar sistemáticamente las barreras de protección.

La amenaza fue descubierta por primera vez por PortSwigger en 2019, pero solo se han realizado cambios mínimos en la causa subyacente de la vulnerabilidad. Una falla crítica de diseño en HTTP/1.1 es la raíz del problema: el protocolo permite a los atacantes crear una ambigüedad extrema sobre dónde termina una solicitud y dónde comienza la siguiente.

Esta ambigüedad permite a los atacantes modificar los límites de las solicitudes, generando así ataques de contrabando de solicitudes que pueden socavar la integridad de aplicaciones web completas y la infraestructura que las soporta. Estos ataques explotan las diferencias en la interpretación de las solicitudes HTTP por parte de distintos servidores y sistemas proxy, lo que permite a los atacantes insertar solicitudes maliciosas que parecen legítimas para los sistemas de seguridad, pero que en realidad realizan operaciones maliciosas en servidores backend.

Las versiones posteriores de HTTP/2 prácticamente eliminan cualquier ambigüedad fundamental, lo que dificulta enormemente los ataques de desincronización. Sin embargo, los expertos en seguridad señalan que habilitar HTTP/2 solo en servidores de borde es insuficiente. Implementar HTTP/2 para conexiones directas a servidores de origen a través de proxies inversos es crucial, ya que persisten muchas vulnerabilidades debido a la continua dependencia de HTTP/1.1.

PortSwigger ha lanzado una iniciativa integral titulada «HTTP/1.1 Must Die: The Desync Endgame» (El fin de la desincronización), que insta a las organizaciones a abandonar este protocolo vulnerable. La investigación incluye recomendaciones prácticas para la implementación inmediata, como habilitar la compatibilidad con HTTP/2 ascendente y garantizar que los servidores de origen puedan manejar el protocolo más reciente.

Para las organizaciones que aún dependen de HTTP/1.1, los investigadores recomiendan implementar las capacidades de validación y normalización de solicitudes disponibles en los sistemas front-end, considerar la posibilidad de deshabilitar la reutilización de conexiones ascendentes y colaborar activamente con los proveedores en relación con los plazos de compatibilidad con HTTP/2.

Esta vulnerabilidad afecta a un amplio espectro de infraestructuras web, desde sitios web individuales hasta los principales proveedores de CDN, lo que pone de relieve la urgente necesidad de que toda la industria adopte protocolos HTTP modernos para garantizar la seguridad web.

Redazione
Red Hot Cyber's editorial team consists of a collection of individuals and anonymous sources who actively collaborate by providing advance information and news on cyber security and IT in general.

Lista degli articoli

Artículos destacados

Vulnerabilidades críticas en NetScaler ADC y Gateway. ¡Actualízate ahora! ¡Los ataques continúan!
Di Redazione RHC - 28/08/2025

NetScaler ha alertado a los administradores sobre tres nuevas vulnerabilidades en NetScaler ADC y NetScaler Gateway, una de las cuales ya se está utilizando en ataques activos. Hay actualizacione...

Microsoft Teams se bloquea: los documentos de Office integrados no se pueden abrir
Di Luca Galuppi - 28/08/2025

Un Jueves Negro para millones de usuarios de Microsoft Teams en todo el mundo. Una función clave de la plataforma de colaboración, la apertura de documentos incrustados de Office, ha sido re...

¡Llega la Novia Robot! La nueva frontera de la tecnología china.
Di Redazione RHC - 15/08/2025

Mientras que el auge de los robots en China, el mayor mercado y productor mundial de robots, atrae la atención de la industria global de las tecnologías de la información (TI), la apari...

¡Agosto a lo grande! 36 RCE para el martes de parches de Microsoft en agosto.
Di Redazione RHC - 13/08/2025

Martes de parches de agosto: Microsoft publica actualizaciones de seguridad que corrigen 107 vulnerabilidades en los productos de su ecosistema. La actualización incluye correcciones para 90 vuln...

Vulnerabilidad crítica de RCE en Microsoft Teams: se necesita una actualización urgente
Di Redazione RHC - 13/08/2025

Como parte de las actualizaciones de seguridad del martes de parches de agosto de 2025, se ha corregido una vulnerabilidad crítica de ejecución remota de código (RCE) en el software de ...