Kritische Internet­schwachstelle kann Server leicht zum Absturz bringen

Kritische Internet­schwachstelle im HTTP/2-Protokoll ermöglicht es Angreifern, Server zum Absturz zu bringen, indem sie diese mit gefälschten Anforderungsströmen überlasten. Sicherheitsexperten warnen, dass ungepatchte Systeme einem erheblichen Risiko großangelegter Denial-of-Service-Angriffe (DDoS) ausgesetzt sind.

Was die Forscher herausfanden

Sicherheitsforscher entdeckten eine Schwachstelle, die nun den Namen „MadeYouReset“ trägt und darauf abzielt, wie HTTP/2 Verbindungsströme verarbeitet. Angreifer können mehrere Anfragen senden, sie auf bestimmte Weise abbrechen und eine fehlerhafte Handhabung von Zurücksetzungen ausnutzen. Diese Methode umgeht eingebaute Begrenzungen und führt dazu, dass Server abgebrochene Anfragen weiterhin im Hintergrund verarbeiten.

Der Angriff erfordert nur minimale Bandbreite vonseiten des Angreifers, zwingt den Server jedoch dazu, erhebliche Ressourcen zu verbrauchen. Dieses Ungleichgewicht macht die Methode besonders geeignet für Denial-of-Service-Angriffe.

Warum das gefährlich ist

Unter normalen Umständen begrenzt HTTP/2 die Anzahl gleichzeitiger Ströme, um eine Überlastung zu verhindern. Mit dieser Schwachstelle werden diese Begrenzungen wirkungslos. Angreifer können Tausende versteckter Anfragen senden, die Speicher und CPU verbrauchen, bis der Server abstürzt.

Die Schwachstelle betrifft gängige HTTP/2-Implementierungen, darunter solche, die von großen Websites und Cloud-Anbietern genutzt werden. Sowohl kleine als auch große Server sind gefährdet, wobei weniger leistungsfähige Systeme schneller ausfallen können.

Betroffene Systeme

Jeder Server, der eine ungepatchte Version von HTTP/2 verwendet und Webverkehr verarbeitet, ist potenziell verwundbar. Dazu gehören Konfigurationen, die auf Hosting-Plattformen, Anwendungsservern und Unternehmensinfrastrukturen zu finden sind. Der Fehler wurde in mehreren Open-Source-Projekten bestätigt.

So schützen Sie sich

Hersteller veröffentlichen derzeit Updates zur Behebung der Schwachstelle. Administratoren sollten:

• Sicherheitsupdates sofort installieren.
• Den Netzwerkverkehr auf ungewöhnliche Muster überwachen.
• Wenn möglich, Ratenbegrenzung einsetzen, um Angriffe zu verlangsamen.
• Die Serverstabilität nach der Installation von Updates testen.

Fazit

Kritische Internet­schwachstelle in HTTP/2 setzt Server kostengünstigen, aber verheerenden Angriffen aus. Ohne Updates können Angreifer Schutzmaßnahmen umgehen und Systeme innerhalb weniger Minuten zum Absturz bringen. Administratoren sollten ihre Systeme jetzt aktualisieren, um Ausfallzeiten zu vermeiden und Dienste vor Unterbrechungen zu schützen.