• IT-Karriere:
  • Services:

Webserver: Denial-of-Service-Angriffe gegen HTTP/2

Das HTTP/2-Protokoll kann missbraucht werden, um in Webservern hohe CPU-Auslastung zu erzeugen. Laut Sicherheitsforschern von Netflix ist es damit in einigen Fällen möglich, mit einer einzelnen Internetverbindung mehrere Server lahmzulegen.

Artikel veröffentlicht am ,
Mit speziellen HTTP/2-Anfragen kann man dafür sorgen, dass Webserver extrem langsam werden.
Mit speziellen HTTP/2-Anfragen kann man dafür sorgen, dass Webserver extrem langsam werden. (Bild: Mad Max, Wikimedia Commons/CC-BY-SA 3.0)

Sicherheitsforscher von Netflix haben mehrere Möglichkeiten für Denial-of-Service-Angriffe im HTTP/2-Protokoll analysiert. Die Probleme betreffen dabei alle verbreiteten Webserver. Ein Client kann dabei mit wenig Aufwand enorm hohe Lasten auf dem Server erzeugen.

Stellenmarkt
  1. Bundesamt für Sicherheit in der Informationstechnik, Bonn
  2. neam IT-Services GmbH, Paderborn

Insgesamt acht mögliche Sicherheitsprobleme listet Netflix in seinem Advisory. Die meisten davon folgen aber einer gemeinsamen Idee: Ein Client fordert beim Server etwas an, das Last auslöst, akzeptiert aber anschließend die gesendeten Antworten nicht. Alle genannten Angriffsszenarien können nur dazu genutzt werden, Server auszulasten. Ein weitergehendes Risiko etwa für das unberechtigte Auslesen von Daten besteht nicht.

Das HTTP/2-Protokoll wurde im Jahr 2015 veröffentlicht. Während es sich beim älteren HTTP/1.1 Protokoll um ein vergleichsweise simples, textbasiertes Protokoll handelt, ist HTTP/2 ein Binärprotokoll. Es ermöglicht HTTP/2 die Kompression von Headern, Multiplexing und vieles mehr. Das bringt Performancevorteile, es erhöht aber die Komplexität deutlich und bietet damit auch mehr Angriffsfläche für Sicherheitslücken.

Standard erläutert nicht, wie man mit unnormalen Situationen umgehen soll

Netflix kritisiert indirekt auch den HTTP/2-Standard, der im RFC 7540 spezifiziert ist. Zwar seien einige der Probleme im Standard als mögliche Sicherheitsprobleme erwähnt, es sei aber nicht klar, wie Implementierungen damit umgehen sollen. Demnach sei der Standard zwar sehr genau darin, zu erläutern, wie sich Implementierungen bei normaler Kommunikation verhalten sollen. Wie aber unnormales Verhalten erkannt und wie darauf reagiert werden soll, sei nur sehr vage beschrieben und es bleibt den einzelnen Implementierungen überlassen, damit umzugehen.

Gemeinsam mit Google und dem CERT/CC hat Netflix die Probleme an die Entwickler zahlreicher Implementierungen gemeldet. Ein Advisory des CERT/CC listet betroffene Produkte, bislang fehlen aber noch überwiegend Informationen zu bereits verfügbaren Updates.

Betroffen sind praktisch alle wichtigen HTTP/2-Implementierungen, für die meisten stehen Updates bereit oder sollten in Kürze erscheinen. Nginx hat die Updates 1.16.1 und 1.17.3 mit entsprechenden Korrekturen veröffentlicht. Der Apache-Webserver greift für die HTTP/2-Funktionalität auf die Bibliothek Nghttp2 zurück. Für den Webserver selbst steht ein Fix in Version 2.4.41 bereit, für Nghttp2 in Version 1.39.2.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (u. a. INNO3D GeForce RTX 3060 Ti Twin X2 OC Grafikkarte für 519€)
  2. (u. a. AMD Ryzen 7 5800X, Prozessor für 509€)
  3. (u. a. ZOTAC Gaming GeForce RTX 3060 Ti Twin Edge für 523,18€)
  4. (u. a. ZOTAC GAMING GEFORCE RTX 3060 TI TWIN EDGE 8GB GDDR6 für 411,56€)

schnedan 14. Aug 2019

haben auf der Arbeit auch n Protokoll definiert... und meine Lesson Learned war die...

ibsi 14. Aug 2019

Sehr hilfreich, vielen Dank; werde ich mir bookmarken :)

Gunah 14. Aug 2019

Erinnert ein wenig an WPA2 "CRACK"


Folgen Sie uns
       


Immortals Fenyx Rising - Fazit

Im Video zeigt Golem.de das Actionspiel Immortals Fenyx Rising.

Immortals Fenyx Rising - Fazit Video aufrufen
Librem Mini v2 im Test: Der kleine Graue mit dem freien Bios
Librem Mini v2 im Test
Der kleine Graue mit dem freien Bios

Der neue Librem Mini eignet sich nicht nur perfekt für Linux, sondern hat als einer von ganz wenigen Rechnern die freie Firmware Coreboot und einen abgesicherten Bootprozess.
Ein Test von Moritz Tremmel

  1. Purism Neuer Librem Mini mit Comet Lake
  2. Librem 14 Purism-Laptops bekommen 6 Kerne und 14-Zoll-Display
  3. Librem Mini Purism bringt NUC-artigen Mini-PC

PC-Hardware: Warum Grafikkarten derzeit schlecht lieferbar sind
PC-Hardware
Warum Grafikkarten derzeit schlecht lieferbar sind

Eine RTX 3000 oder eine RX 6000 zu bekommen, ist schwierig: Eine hohe Nachfrage trifft auf Engpässe - ohne Entspannung in Sicht.
Eine Analyse von Marc Sauter

  1. Instinct MI100 AMDs erster CDNA-Beschleuniger ist extrem schnell
  2. Hardware-accelerated GPU Scheduling Besseres VRAM-Management unter Windows 10

iPhone 12 Mini im Test: Leistungsstark, hochwertig, winzig
iPhone 12 Mini im Test
Leistungsstark, hochwertig, winzig

Mit dem iPhone 12 Mini komplettiert Apple seine Auswahl an aktuellen iPhones für alle Geschmäcker: Auf 5,4 Zoll sind hochwertige technischen Finessen vereint, ein besseres kleines Smartphone gibt es nicht.
Ein Test von Tobias Költzsch

  1. Apple Bauteile des iPhone 12 kosten 313 Euro
  2. Touchscreen und Hörgeräte iOS 14.2.1 beseitigt iPhone-12-Fehler
  3. iPhone Magsafe ist nicht gleich Magsafe

    •  /