Categories: Sicherheit

Schwere Sicherheitslücken in HTTP/2 entdeckt

Sicherheitsforscher von Imperva weisen auf eine Reihe schwerwiegender Anfälligkeiten in HTTP/2 (oder HTTP 2.0) hin, dem Nachfolger von HTTP/1.1. Ihre Befunde (PDF) stellten sie auf der Konferenz Black Hat USA vor.

HTTP/2 ist die jüngste Version des Hypertext Transfer Protocol. Es wurde im Mai 2015 verabschiedet und kommt seither immer häufiger zum Einsatz. Laut W3Techs setzen es derzeit 8,7 Prozent aller Websites ein – das sind rund 8,7 Millionen.

Ein Slow Read genannter Angriff kann durch einen bösartigen Client erfolgen, der Antworten bewusst sehr langsam empfängt – genau wie beim Slowloris-DDoS-Angriff, mit dem 2010 Finanzinstitute attackiert wurden. Slow-Read-Angriffe sind im HTTP-Ökosystem eigentlich bekannt, dennoch ist auch die jüngste Version auf diese Weise angreifbar. Dazu müssen HTTP/2-Implementierungen aber auf der Applikationsschicht attackiert werden. Varianten dieser Schwachstelle wurden in den Webservern Apache, IIS, Jetty, NGINX und nghttp2 gefunden.

Den zweiten Angriffstyp nennen die Forscher HPACK Bomb. Er ähnelt nach ihren Angaben einer „ZIP-Bombe“, also einer bösartigen Archivdatei, die das auslesende Programm oder System zum Absturz bringen soll, während zugleich häufig Antivirensoftware ausgeschaltet wird. Dabei werden aus kleinen, unverdächtig wirkenden Dateien beim Entpacken mehrere Gigabyte umfassende Datenmengen. Ihre Bewältigung erfordert oft alle Serverressourcen, und manchmal reichen auch sie nicht aus.

Als drittes Verfahren wurden „Dependence Cycle“-Angriffe genannt: HTTP/2 hat einen neuen Flow-Control-Mechanismus eingeführt, um Netzwerke zu optimieren. Er lässt sich für eine Attacke missbrauchen, indem ein Angreifer einen Kreislauf an Abhängigkeiten („Dependency Cycle“) schafft, also einen unendlichen Kreislauf, dem die Flusskontrolle nicht mehr entkommt.

Der vierte Angriffsvektor sind Stream-Multiplexing-Funktionen, die sich missbrauchen lassen, wenn ihre Implementierung auf dem Server Lücken aufweist. So können Angreifer Server zum Absturz bringen, der dann für legitime Nutzer nicht mehr erreichbar ist.

HIGHLIGHT

Mehr Sicherheit im smarten Zuhause

Wie Sie Ihr persönliches Internet der Dinge vor versteckten Gefahren schützen

Für das Sicherheitsunternehmen Imperva kommentierte Gründer und CTO Amichai Shulman: „Die allgemeinen Web-Leistungsverbesserungen für Mobilanwendungen, die HTTP/2 eingeführt hat, sind ein potenzieller Gewinn für Internetnutzer. Entlässt man aber eine große Menge Code in kurzer Zeit in die freie Wildbahn, stellt das eine günstige Gelegenheit für Angreifer dar.“

Shulman kritisiert auch die große Zahl verbliebener Schwachstellen des Vorgängers: „Es ist verstörend, bekannte HTTP-1.x-Lücken in HTTP/2 vorzufinden, aber kaum überraschend. Wie bei jeder neuen Technik müssen Unternehmen auch diese vor der Einführung gründlich prüfen und Sicherheitsvorkehrungen implementieren, um die erweitere Angriffsfläche zu härten und kritische Geschäftsfunktionen sowie Kundendaten vor den sich weiterentwickelnden Cyberbedrohungen zu schützen.“

In anderen Sessions auf Black Hat USA wurden profanere und direktere Angriffsverfahren vorgestellt. Forscher Weston Hacker von Rapid7 zeigte ein aus Komponenten für 6 Dollar bestehendes handliches Werkzeug, mit dem sich Schlüsselkartensysteme in Hotels aushebeln lassen.

[mit Material von Charlie Osborne, ZDNet.com]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Florian Kalenda

Seit dem Palm Vx mit Klapp-Tastatur war Florian mit keinem elektronischen Gerät mehr vollkommen zufrieden. Er nutzt derzeit privat Android, Blackberry, iOS, Ubuntu und Windows 7. Die Themen Internetpolitik und China interessieren ihn besonders.

Recent Posts

Konsolidierte und strukturierte Daten für medizinische Versorgung

Telekom und vitagroup stellen Kliniken offene Plattform zur Verfügung, die Gesundheitsdaten unabhängig von einzelnen Herstellern…

9 Stunden ago

Zahl der Webauftritte sinkt wieder

Auch 2023 war kein gutes Jahr für die Hoster von KMU-Webseiten. Erneut schlossen viele Mittelständler…

9 Stunden ago

Pwn2Own: Google verteilt Sicherheitsupdate für Chrome

Es schließt zwei schwerwiegende Lücken, die eine Remotecodeausführung erlauben. Darüber hinaus stopft Google ein kritisches…

1 Tag ago

IT-Verzicht fürs Klima – wie viele sind dazu bereit?

Der Digitalverband Bitkom hat 1.000 Deutsche danach befragt, auf welche Angebote sie aus Gründen des…

1 Tag ago

BSI warnt Microsoft-Exchange-Nutzer

Laut Bundesamt sind mindestens 17.000 Instanzen in Deutschland durch eine oder mehrere kritische Schwachstellen verwundbar.

1 Tag ago

Apple kündigt Entwicklerkonferenz WWDC 2024 für 10. Juni an

Die Veranstaltung startet wie in jedem Jahr mit einer Keynote. Apple verspricht Neuerungen für alle…

1 Tag ago