HTTP/2-Schwachstelle ermöglicht DoS-Angriff durch entfernten Angreifer

Deutschland: HTTP/2-Schwachstelle ermöglicht DoS-Angriff

Ein neuer Sicherheitshinweis des CERT-Bund warnt vor einer Schwachstelle in HTTP/2-Implementierungen, die von einem entfernten, anonymen Angreifer ausgenutzt werden kann, um einen Denial-of-Service-Angriff zu initiieren.

Betroffene Protokolle und Implementierungen

Die Analyse betrifft mehrere weit verbreitete HTTP/2-Stacks, darunter OpenSSL‑basierte Bibliotheken, nghttp2 und proprietäre Implementierungen großer Anbieter. Alle betroffenen Komponenten verarbeiten bestimmte Frame‑Sequenzen fehlerhaft, was zu einer Ressourcenauslastung führt.

Technische Details der Schwachstelle

Der Angreifer sendet speziell präparierte HEADERS‑Frames, die bei der Verarbeitung zu einer unbegrenzten Speicherallokation führen. Da die betroffenen Bibliotheken keine ausreichende Begrenzung für die Größe oder Anzahl der Header‑Felder implementieren, kann der Server innerhalb kurzer Zeit in einen nicht reagierenden Zustand versetzt werden.

Mögliche Auswirkungen

Ein erfolgreicher Angriff führt zum kompletten Stillstand des betroffenen Dienstes, wodurch legitime Benutzer keinen Zugriff mehr erhalten. In produktiven Umgebungen kann dies zu erheblichen Ausfällen und wirtschaftlichen Verlusten führen.

Empfohlene Gegenmaßnahmen

Der CERT-Bund rät Betreiberinnen und Betreiber von Web‑Servern, die betroffenen Versionen unverzüglich zu aktualisieren oder zu patchen. Zusätzlich sollten Rate‑Limiting‑Mechanismen und Monitoring‑Tools eingesetzt werden, um ungewöhnliche Frame‑Muster frühzeitig zu erkennen.

Veröffentlichungsdatum und Referenz

Der Sicherheitshinweis wurde am 12. April 2024 veröffentlicht und trägt die Kennzeichnung WID‑SEC‑2024‑0789. Weitere technische Details sind im vollständigen Advisory-Dokument enthalten.

Weiterführende Informationen

Betroffene Administratoren können das vollständige Advisory auf der offiziellen CERT‑Bund‑Website einsehen. Dort stehen zudem Anleitungen zur Überprüfung der installierten HTTP/2‑Versionen bereit.

Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).