Ein remote agierender Angreifer kann eine Schwachstelle in mehreren HTTP/2-Serverimplementierungen ausnutzen, um gezielt einen Denial-of-Service-Angriff zu initiieren. Die Lücke ermöglicht es, Server durch speziell gestaltete Anfragen zum Stillstand zu bringen, ohne dass dafür Authentifizierung erforderlich ist.
Technische Details
Die Schwachstelle betrifft die Verarbeitung bestimmter HTTP/2-Frames, wobei fehlerhafte Speicherverwaltung zu einem Absturz des betroffenen Dienstes fĂĽhrt. Nach Angaben von CERT-Bund ist der fehlerhafte Code in Bibliotheken zu finden, die von Apache Traffic Server und weiteren Servern genutzt werden.
Betroffene Systeme
Zu den betroffenen Implementierungen zählen unter anderem Apache Traffic Server sowie weitere HTTP/2-Server, die dieselben Bibliotheken einsetzen. Die genaue Liste wird von den jeweiligen Anbietern bereitgestellt.
Mögliche Folgen
Ein erfolgreicher Angriff kann die Verfügbarkeit von Webdiensten vollständig beeinträchtigen, was zu Unterbrechungen für Endnutzer und potenziell zu wirtschaftlichen Schäden führen kann. Da die Lücke ohne Authentifizierung ausgenutzt werden kann, besteht ein erhöhtes Risiko für öffentlich zugängliche Dienste.
Handlungsempfehlungen
Betreiber sollten umgehend prüfen, ob ihre Systeme von der Schwachstelle betroffen sind, und verfügbare Sicherheitspatches installieren. Zusätzlich wird empfohlen, den Netzwerkverkehr auf verdächtige HTTP/2-Anfragen zu überwachen und gegebenenfalls restriktive Filter zu konfigurieren.
Weiteres Vorgehen
Nach Angaben von CERT-Bund wird die Situation weiterhin beobachtet. Nutzer werden aufgefordert, die offiziellen Sicherheitshinweise zu verfolgen und bei Bedarf weitere Informationen von den jeweiligen Anbietern einzuholen.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung