PoC-CVE-2025-8671-MadeYouReset-HTTP-2

PoC zur Validierung der Sicherheitslücke MadeYouReset

Dieses Repository enthält eine kontrollierte PoC, die entwickelt wurde, um zu validieren, ob eine Infrastruktur potenziell anfällig für CVE-2025-8671 (MadeYouReset) ist. Der Code ist kein vollständiger Exploit und führt keinen echten DoS durch – das Ziel ist lediglich, die öffentlich beschriebenen Vektoren zu simulieren und die Antworten des Servers zu beobachten.

Über CVE-2025-8671

CVE-2025-8671 betrifft HTTP/2-Implementierungen, bei denen der Server bestimmte ungültige Frames, die nach dem Schließen von Streams oder Verbindungen gesendet werden, nicht korrekt verarbeitet. Ein Angreifer könnte den Fehler ausnutzen, um übermäßigen CPU-/Speicherverbrauch zu verursachen, was zu einem Denial-of-Service (DoS) führt.

Die häufigsten öffentlich beschriebenen Vektoren umfassen:

• Ungültiges WINDOW_UPDATE (in nicht existierendem Stream oder Verbindung mit Fenster Null)
• DATA gesendet nach END_STREAM
• HEADERS mit Null-Länge nach Stream-Schließung
• PRIORITY mit ungültiger Größe nach Schließung
• CONTINUATION ohne vorherige HEADERS

Was der Code tut

Das Skript:

1. Stellt HTTP/2-Verbindung mit dem angegebenen Ziel her.

2. Führt Anfragen für die bekannten Vektoren (oben aufgelistet) durch.

3. Überwacht die Antwort des Servers und protokolliert Ereignisse wie:

   • GOAWAY (Verbindungsabbruch durch den Server)
   • RST_STREAM (ordnungsgemäßes Zurücksetzen des ungültigen Streams)
   • Vorzeitiges Schließen der Verbindung
   • Empfangene Antworten (wenn der Server die Anfrage verarbeitet)
   • Interne Fehler

4. Für jeden Versuch wird eine JSON-Ausgabe generiert mit:

   • vector → getesteter Angriffsvektor
   • attempt → Versuchsnummer
   • rst_stream → ob der Server den Stream zurückgesetzt hat
   • goaway → ob der Server die Verbindung beendet hat