Microsoft warnt vor Zero-Day-Lücke in IIS unter Windows 10 und Server 2016
Der Fehler steckt in den Spezifikationen des Protokolls HTTP/2. Speziell gestaltete Anfragen lassen die CPU-Auslastung auf 100 Prozent hochschnellen und fieren die IIS ein. Ein Patch steht für Windows 10 bis einschließlich Version 1803 und auch für Windows Server bis Version 18.03 zur Verfügung.
Microsoft hat eine Sicherheitswarnung für Windows 10 und Server 2016veröffentlicht. Der Fehler steckt in den Internet Information Services (IIS), die nicht in der Lage sind, bestimmte speziell gestalte HTTP/2-Anfragen zu verarbeiten. Sie können vorübergehend die CPU zu 100 Prozent auslasten, bis die schädliche Verbindung von den ISS beendet wird.
Auslöser sind offenbar die Spezifikationen für HTTP/2. Sie erlauben es Clients, eine beliebige Zahl von Settings Frames zusammen mit einer beliebigen Zahl von Settings Parametern einzustellen. „In einigen Situationen können übermäßig viele Settings zur Instabilität der Services und einer vorübergehenden Spitze der CPU-Nutzung führen, bis ein Verbindungs-Timeout erreicht und die Verbindung getrennt wird“, heißt es in dem Advisory.
Der Fehler wird nun durch eine neue Funktion beseitigt, die es erlaubt, eine Obergrenze für die Zahl der HTTP/2 Settings innerhalb einer Anfrage festzulegen. Microsoft weist jedoch darauf hin, dass diese Obergrenze vom IIS-Administrator eingerichtet werden muss – Microsoft lege dazu keine Voreinstellung fest.
Einen Patch bringt das Anfang der Woche veröffentlichte jüngste kumulative Update für Windows 10 Version 1607, 1703, 1709 und 1803. Der Fix steht zudem für Windows Server 2016, Windows Server Version 1709 und Windows Server Version 1803 zur Verfügung.
Entdeckt wurde der Bug von Gal Goldshtein, Software-Entwickler bei F5 Networks. Nutzer, die die ISS einsetzen, sollten nach Installation der Updates KB4487006, KB4487011, KB4487021 oder KB4487029 die HTTP/2-Einstellungen anpassen, um ein Einfrieren des Systems zu verhindern.
SNN5971A akkus für Moto 360 2nd-Gen 2015 Smart Watch FW3S
LCAP31 34UM94 34UM95 LG 34-Inch Ultra Wide QHD Monitor LED Netzteile/Adapters
PB-42L akkus für KENWOOD Portable Radios TH-F6 TH-F6A TH-F7 TH-F7E
1513 1512 Microsoft 24W ladegerät Surface 2 Windows RT,PC Netzteile/Adapters
HF12 Philips HF3520/3485/3480/3471/3470 Wake-Up Light EXCELLENT Netzteile/Adapters
A41-D15 akkus für Medion Akoya MD99620 P6670 Erazer P6661
Microsoft hat eine Sicherheitswarnung für Windows 10 und Server 2016veröffentlicht. Der Fehler steckt in den Internet Information Services (IIS), die nicht in der Lage sind, bestimmte speziell gestalte HTTP/2-Anfragen zu verarbeiten. Sie können vorübergehend die CPU zu 100 Prozent auslasten, bis die schädliche Verbindung von den ISS beendet wird.
Auslöser sind offenbar die Spezifikationen für HTTP/2. Sie erlauben es Clients, eine beliebige Zahl von Settings Frames zusammen mit einer beliebigen Zahl von Settings Parametern einzustellen. „In einigen Situationen können übermäßig viele Settings zur Instabilität der Services und einer vorübergehenden Spitze der CPU-Nutzung führen, bis ein Verbindungs-Timeout erreicht und die Verbindung getrennt wird“, heißt es in dem Advisory.
Der Fehler wird nun durch eine neue Funktion beseitigt, die es erlaubt, eine Obergrenze für die Zahl der HTTP/2 Settings innerhalb einer Anfrage festzulegen. Microsoft weist jedoch darauf hin, dass diese Obergrenze vom IIS-Administrator eingerichtet werden muss – Microsoft lege dazu keine Voreinstellung fest.
Einen Patch bringt das Anfang der Woche veröffentlichte jüngste kumulative Update für Windows 10 Version 1607, 1703, 1709 und 1803. Der Fix steht zudem für Windows Server 2016, Windows Server Version 1709 und Windows Server Version 1803 zur Verfügung.
Entdeckt wurde der Bug von Gal Goldshtein, Software-Entwickler bei F5 Networks. Nutzer, die die ISS einsetzen, sollten nach Installation der Updates KB4487006, KB4487011, KB4487021 oder KB4487029 die HTTP/2-Einstellungen anpassen, um ein Einfrieren des Systems zu verhindern.
SNN5971A akkus für Moto 360 2nd-Gen 2015 Smart Watch FW3S
LCAP31 34UM94 34UM95 LG 34-Inch Ultra Wide QHD Monitor LED Netzteile/Adapters
PB-42L akkus für KENWOOD Portable Radios TH-F6 TH-F6A TH-F7 TH-F7E
1513 1512 Microsoft 24W ladegerät Surface 2 Windows RT,PC Netzteile/Adapters
HF12 Philips HF3520/3485/3480/3471/3470 Wake-Up Light EXCELLENT Netzteile/Adapters
A41-D15 akkus für Medion Akoya MD99620 P6670 Erazer P6661
0 Response to "Microsoft warnt vor Zero-Day-Lücke in IIS unter Windows 10 und Server 2016"
Kommentar veröffentlichen