Der CERT-Bund hat in seiner Sicherheitsberatung WID-SEC-2026-1791 eine Schwachstelle beschrieben, die es einem entfernten, anonymen Angreifer ermöglicht, verschiedene HTTP/2-Implementierungen zu missbrauchen und dadurch einen Denial-of-Service-Angriff auszulösen.
Hintergrund des Protokolls
HTTP/2 ist ein weit verbreitetes Protokoll zur Beschleunigung von Webkommunikation und wird von zahlreichen Servern und Clients eingesetzt. Die betroffenen Implementierungen stammen aus unterschiedlichen Anbietern, die das Protokoll unterstützen.
Technische Details der Schwachstelle
Die Lücke beruht auf der Möglichkeit, speziell gestaltete Frames zu senden, die zu einer übermäßigen Ressourcenauslastung führen. Der Angriff erfordert keinen authentifizierten Zugriff, sodass ein Angreifer ohne vorherige Legitimation agieren kann.
Betroffene Implementierungen
Laut der Beratung sind mehrere gängige Server‑Software und Bibliotheken, die HTTP/2 unterstützen, potenziell gefährdet. Konkrete Produktnamen werden nicht genannt, jedoch wird darauf hingewiesen, dass jede Implementierung, die das betroffene Verarbeitungsmodul nutzt, überprüft werden sollte.
Potenzielle Auswirkungen
Ein erfolgreicher Angriff kann die Verfügbarkeit von Webdiensten stark beeinträchtigen, was zu Unterbrechungen für Nutzer und möglichen wirtschaftlichen Schäden führen kann.
Empfohlene Gegenmaßnahmen
Der CERT-Bund rät dazu, die betroffenen Komponenten umgehend zu aktualisieren, verfügbare Sicherheitspatches zu installieren und, sofern möglich, Konfigurationsoptionen zu nutzen, die die Ausnutzung erschweren.
Meldung von Vorfällen
Betreiber von betroffenen Systemen sollten etwaige Angriffe oder verdächtige Aktivitäten dem CERT-Bund melden, um weiterführende Analysen zu ermöglichen.
Weiteres Vorgehen
Die Beratung weist darauf hin, dass weitere Untersuchungen laufen, um das volle Ausmaß der Schwachstelle zu bestimmen und zusätzliche Schutzmaßnahmen zu entwickeln.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Übertragung