Kritisk internet­sårbarhed kan få servere til at gå ned nemt

Kritisk internet­sårbarhed i HTTP/2-protokollen gør det muligt for angribere at få servere til at gå ned ved at overbelaste dem med falske forespørgselsstrømme. Sikkerhedseksperter advarer om, at upatchede systemer står over for en betydelig risiko for store tjenestenægtangreb (DDoS).

Hvad forskerne fandt

Sikkerhedsforskere har opdaget en sårbarhed, nu kaldet “MadeYouReset”, der udnytter måden, HTTP/2 håndterer forbindelsesstrømme på. Angribere kan sende flere forespørgsler, annullere dem på bestemte måder og udnytte forkert håndtering af nulstillinger. Denne metode omgår indbyggede begrænsninger og får servere til at fortsætte med at behandle annullerede forespørgsler i baggrunden.

Angrebet kræver minimal båndbredde fra angriberen, men tvinger serveren til at bruge betydelige ressourcer. Denne ubalance gør metoden ideel til tjenestenægtangreb.

Hvorfor det er farligt

Under normale forhold begrænser HTTP/2 antallet af samtidige strømme for at forhindre overbelastning. Med denne sårbarhed bliver disse begrænsninger meningsløse. Angribere kan sende tusindvis af skjulte forespørgsler, der bruger hukommelse og CPU, indtil serveren går ned.

Sårbarheden påvirker populære HTTP/2-implementationer, herunder dem, der anvendes af store websites og cloud-udbydere. Både små og store servere er udsatte, men mindre kraftige systemer kan gå ned hurtigere.

Berørte systemer

Enhver server, der kører en upatchet version af HTTP/2 og håndterer webtrafik, er potentielt sårbar. Det gælder konfigurationer, der findes i webhosting­platforme, applikationsservere og virksomhedsinfrastruktur. Fejlen er bekræftet i flere open source-projekter.

Sådan beskytter du dig

Leverandører udsender nu opdateringer for at rette sårbarheden. Administratorer bør:

• Installere sikkerhedsopdateringer med det samme.
• Overvåge netværkstrafik for usædvanlige mønstre.
• Bruge hastighedsbegrænsning, hvor det er muligt, for at bremse angreb.
• Teste serverens stabilitet efter installation af opdateringer.

Konklusion

Kritisk internet­sårbarhed i HTTP/2 gør servere sårbare over for billige, men ødelæggende angreb. Uden opdateringer kan angribere omgå sikkerhedsforanstaltninger og få systemer til at gå ned på få minutter. Administratorer bør opdatere deres systemer nu for at undgå nedetid og beskytte tjenester mod afbrydelser.