Microsoft Security Response Center offentliggjorde i går en sikkerhedsmeddelelse om et lammelsesangreb (denial of service (DOS) – problem, der påvirker IIS (Internet Information Services), Microsoft ‘ s web-server teknologi.
Ifølge Microsoft IIS servere, der leveres sammen med Windows 10 og Windows Server 2016 er påvirket af en svaghed ved behandling af HTTP – /2-anmodninger.
HTTP/2 er den nyeste version af HTTP-protokollen, som understøtter, hvad der er kendt som World Wide Web (www), den del af internettet, som almindelige brugere kan få adgang til i deres browsere.
Microsoft siger, at der er omstændigheder, som IIS-servere behandling af HTTP – /2-anmodninger kan få CPU-forbrug til spike til 100 procent, der effektivt blokerer eller forsinker hele systemet.
Gal Goldshtein, en software-ingeniør med F5 Networks, opdaget problemet. Uden for Microsofts ADV190005 security advisory, at der ikke er andre offentlige oplysninger om denne svaghed.
I sin rådgivende, Microsoft beskrev problemet som følger:
HTTP – /2-specifikationen gør det muligt for kunderne at angive en række INDSTILLINGER til billeder med forskellige INDSTILLINGER parametre. I nogle situationer, overdreven indstillinger kan medføre, at service bliver ustabil og kan resultere i en midlertidig CPU-forbrug spike, indtil forbindelsen timeout er nået, og i den forbindelse er lukket.
Den Redmond-baserede OS kaffefaciliteter spørgsmålet ved at tilføje muligheden for at fastsætte tærskler på antallet af INDSTILLINGER parametre, der indgår i en HTTP/2 anmodning om, at en IIS-server, der ville være i stand til at håndtere.
Kumulative opdateringer KB4487006, KB4487011, KB4487021, og KB4487029 blev udgivet for to dage siden for at løse IIS DOS fejl.
Efter anvendelse af de opdateringer, IIS-administratorer vil være i stand til at tilpasse HTTP/2 INDSTILLINGER tærskel og forhindre fejl fra frysning IIS web services.
“Tærskler, der skal være defineret af IIS administrator,” sagde selskabet, “de er ikke forudindstillet af Microsoft.”
Relaterede cybersecurity dækning af nyheder:
Microsoft Kant lader Facebook køre Flash-kode bag brugernes backsWinRAR versioner, der er udgivet i de sidste 19 år, der er ramt af alvorlige sikkerhedsmæssige flawVulnerabilities afdækket i populære adgangskode ledere
Malvertising kampagne, der rammer OS brugere hårdt over Presidents’ Day weekendCisco patches et par af root-adgang-ydelse sikkerhed flawsWhite hatte sprede VKontakte orm når det sociale netværk ikke betaler bug bounty
Større sårbarhed fundet i Android ES File Explorer app TechRepublicXiaomi el-scooter efter sigende sårbare over for kapring af hack CNET
Relaterede Emner:
Datacentre
Sikkerhed-TV
Data Management
CXO