Abo
  • IT-Karriere:

Webserver: Denial-of-Service-Angriffe gegen HTTP/2

Das HTTP/2-Protokoll kann missbraucht werden, um in Webservern hohe CPU-Auslastung zu erzeugen. Laut Sicherheitsforschern von Netflix ist es damit in einigen Fällen möglich, mit einer einzelnen Internetverbindung mehrere Server lahmzulegen.

Artikel veröffentlicht am ,
Mit speziellen HTTP/2-Anfragen kann man dafür sorgen, dass Webserver extrem langsam werden.
Mit speziellen HTTP/2-Anfragen kann man dafür sorgen, dass Webserver extrem langsam werden. (Bild: Mad Max, Wikimedia Commons/CC-BY-SA 3.0)

Sicherheitsforscher von Netflix haben mehrere Möglichkeiten für Denial-of-Service-Angriffe im HTTP/2-Protokoll analysiert. Die Probleme betreffen dabei alle verbreiteten Webserver. Ein Client kann dabei mit wenig Aufwand enorm hohe Lasten auf dem Server erzeugen.

Stellenmarkt
  1. Stadtverwaltung Kaiserslautern, Kaiserslautern
  2. Porsche Consulting GmbH, Stuttgart, Berlin, Frankfurt am Main, Hamburg, München

Insgesamt acht mögliche Sicherheitsprobleme listet Netflix in seinem Advisory. Die meisten davon folgen aber einer gemeinsamen Idee: Ein Client fordert beim Server etwas an, das Last auslöst, akzeptiert aber anschließend die gesendeten Antworten nicht. Alle genannten Angriffsszenarien können nur dazu genutzt werden, Server auszulasten. Ein weitergehendes Risiko etwa für das unberechtigte Auslesen von Daten besteht nicht.

Das HTTP/2-Protokoll wurde im Jahr 2015 veröffentlicht. Während es sich beim älteren HTTP/1.1 Protokoll um ein vergleichsweise simples, textbasiertes Protokoll handelt, ist HTTP/2 ein Binärprotokoll. Es ermöglicht HTTP/2 die Kompression von Headern, Multiplexing und vieles mehr. Das bringt Performancevorteile, es erhöht aber die Komplexität deutlich und bietet damit auch mehr Angriffsfläche für Sicherheitslücken.

Standard erläutert nicht, wie man mit unnormalen Situationen umgehen soll

Netflix kritisiert indirekt auch den HTTP/2-Standard, der im RFC 7540 spezifiziert ist. Zwar seien einige der Probleme im Standard als mögliche Sicherheitsprobleme erwähnt, es sei aber nicht klar, wie Implementierungen damit umgehen sollen. Demnach sei der Standard zwar sehr genau darin, zu erläutern, wie sich Implementierungen bei normaler Kommunikation verhalten sollen. Wie aber unnormales Verhalten erkannt und wie darauf reagiert werden soll, sei nur sehr vage beschrieben und es bleibt den einzelnen Implementierungen überlassen, damit umzugehen.

Gemeinsam mit Google und dem CERT/CC hat Netflix die Probleme an die Entwickler zahlreicher Implementierungen gemeldet. Ein Advisory des CERT/CC listet betroffene Produkte, bislang fehlen aber noch überwiegend Informationen zu bereits verfügbaren Updates.

Betroffen sind praktisch alle wichtigen HTTP/2-Implementierungen, für die meisten stehen Updates bereit oder sollten in Kürze erscheinen. Nginx hat die Updates 1.16.1 und 1.17.3 mit entsprechenden Korrekturen veröffentlicht. Der Apache-Webserver greift für die HTTP/2-Funktionalität auf die Bibliothek Nghttp2 zurück. Für den Webserver selbst steht ein Fix in Version 2.4.41 bereit, für Nghttp2 in Version 1.39.2.



Anzeige
Top-Angebote
  1. 35€ (Bestpreis!)
  2. 199€ + Versand
  3. 56€ (Bestpreis!)

schnedan 14. Aug 2019

haben auf der Arbeit auch n Protokoll definiert... und meine Lesson Learned war die...

ibsi 14. Aug 2019

Sehr hilfreich, vielen Dank; werde ich mir bookmarken :)

Gunah 14. Aug 2019

Erinnert ein wenig an WPA2 "CRACK"


Folgen Sie uns
       


Samsungs 49-Zoll-QLED-Gaming-Monitor - Test

Der Samsung CRG9 ist nicht nur durch sein 32:9-Format beeindruckend. Auch die hohe Bildfrequenz und sehr gute Helligkeit ermöglichen ein sehr immersives Gaming und viel Platz für Multitasking.

Samsungs 49-Zoll-QLED-Gaming-Monitor - Test Video aufrufen
iPad 7 im Test: Nicht nur für Einsteiger lohnenswert
iPad 7 im Test
Nicht nur für Einsteiger lohnenswert

Auch mit der siebten Version des klassischen iPads richtet sich Apple wieder an Nutzer im Einsteigersegment. Dennoch ist das Tablet sehr leistungsfähig und kommt mit Smart-Keyboard-Unterstützung. Wer ein gutes, lange unterstütztes Tablet sucht, kann sich freuen - ärgerlich sind die Preise fürs Zubehör.
Ein Test von Tobias Költzsch

  1. iPad Einschränkungen für Apples Sidecar-Funktion
  2. Apple Microsoft Office auf neuem iPad nicht mehr kostenlos nutzbar
  3. Tablet Apple bringt die 7. Generation des iPads

Linux-Kernel: Selbst Google ist unfähig, Android zu pflegen
Linux-Kernel
Selbst Google ist unfähig, Android zu pflegen

Bisher gilt Google als positive Ausnahme von der schlechten Update-Politik im Android-Ökosystem. Doch eine aktuelle Sicherheitslücke zeigt, dass auch Google die Updates nicht im Griff hat. Das ist selbst verschuldet und könnte vermieden werden.
Ein IMHO von Sebastian Grüner

  1. Kernel Linux bekommt Unterstützung für USB 4
  2. Kernel Vorschau auf Linux 5.4 bringt viele Security-Funktionen
  3. Linux Lockdown-Patches im Kernel aufgenommen

Rohstoffe: Lithium aus dem heißen Untergrund
Rohstoffe
Lithium aus dem heißen Untergrund

Liefern Geothermiekraftwerke in Südwestdeutschland bald nicht nur Strom und Wärme, sondern auch einen wichtigen Rohstoff für die Akkus von Smartphones, Tablets und Elektroautos? Das Thermalwasser hat einen so hohen Gehalt an Lithium, dass sich ein Abbau lohnen könnte. Doch es gibt auch Gegner.
Ein Bericht von Werner Pluta

  1. Wasserkraft Strom aus dem Strom
  2. Energie Wie Mikroben Methan mit Windstrom produzieren
  3. Erneuerbare Energien Die Energiewende braucht Wasserstoff

    •  /