DoS-Attacken: Viele Web-Server mit HTTP/2 angreifbar

Aufgrund von nicht optimalen Implementierungen des HTTP/2-Protokolls könnten Angreifer unzählige Web-Server via DoS-Attacken aus dem Verkehr ziehen. Davon sind unter anderem Apple, Facebook und Microsoft betroffen.

Sicherheitsforscher von Netflix und Google sind auf insgesamt acht Schwachstellen gestoßen. Der Schweregrad der Lücken gilt als "hoch".

Website nicht erreichbar

Laut Statistiken von W3Techs setzen 40 Prozent aller Websites HTTP/2 ein. Dabei handelt es sich um ein erweiterte und verbesserte Variante von HTTP/1.1. Doch mit dem erweiterten Funktionsumfang steigt auch die Komplexität der Implementierung und viele Server sind aufgrund einer nicht optimalen Konfiguration über verschiedene Wege angreifbar.

Im Kern geht es immer darum, dass Angreifer Websites an verschiedenen Stellen mit Anfragen überfluten, sodass diese klein beigeben müssen und nicht mehr erreichbar sind, erläutern Sicherheitsforscher von Netflix in einem Beitrag. In diesen Fällen gelingt das mit Variationen dadurch, dass ein Client eine Antwort von einem verwundbaren Server verlangt, diese dann aber ablehnt.

In dem Beitrag findet man auch die CVE-Nummern und weitere Infos zu den einzelnen Angriffsszenarien. In einer Meldung des CERT der Carnegie Mellon University findet sich eine Liste von Anbietern. Angreifbare Server sind markiert, beim Großteil ist aber noch unklar, ob sie betroffen sind.

Server absichern

In einer Auflistung kann man einsehen, welche Produkte, die HTTP/2 mitbringen, mit dem Problem zu kämpfen haben und welche Lücken darin klaffen. Verwundbar sind beispielsweise Nginx von F5, Tomcat von Apache und Windows. Sicherheitsupdates sind zum Teil verfügbar – beispielsweise Microsoft verteilt bereits Patches über Windows Update. Wer betroffene Produkte einsetzt, sollte sich mit dem Anbieter in Verbindung setzen. (des)