Microsoft warnt vor Zero-Day-Lücke in IIS unter Windows 10 und Server 2016

Microsoft hat eine Sicherheitswarnung für Windows 10 und Server 2016 veröffentlicht. Der Fehler steckt in den Internet Information Services (IIS), die nicht in der Lage sind, bestimmte speziell gestalte HTTP/2-Anfragen zu verarbeiten. Sie können vorübergehend die CPU zu 100 Prozent auslasten, bis die schädliche Verbindung von den ISS beendet wird.

Auslöser sind offenbar die Spezifikationen für HTTP/2. Sie erlauben es Clients, eine beliebige Zahl von Settings Frames zusammen mit einer beliebigen Zahl von Settings Parametern einzustellen. „In einigen Situationen können übermäßig viele Settings zur Instabilität der Services und einer vorübergehenden Spitze der CPU-Nutzung führen, bis ein Verbindungs-Timeout erreicht und die Verbindung getrennt wird“, heißt es in dem Advisory.

Der Fehler wird nun durch eine neue Funktion beseitigt, die es erlaubt, eine Obergrenze für die Zahl der HTTP/2 Settings innerhalb einer Anfrage festzulegen. Microsoft weist jedoch darauf hin, dass diese Obergrenze vom IIS-Administrator eingerichtet werden muss – Microsoft lege dazu keine Voreinstellung fest.

Einen Patch bringt das Anfang der Woche veröffentlichte jüngste kumulative Update für Windows 10 Version 1607, 1703, 1709 und 1803. Der Fix steht zudem für Windows Server 2016, Windows Server Version 1709 und Windows Server Version 1803 zur Verfügung.

Entdeckt wurde der Bug von Gal Goldshtein, Software-Entwickler bei F5 Networks. Nutzer, die die ISS einsetzen, sollten nach Installation der Updates KB4487006, KB4487011, KB4487021 oder KB4487029 die HTTP/2-Einstellungen anpassen, um ein Einfrieren des Systems zu verhindern.

Whitepaper

SAP S/4HANA trifft ECM: Was Sie für eine erfolgreiche Migrationsstrategie beachten sollten

Ceyoniq beleutet in diesem Whitepaper anhand von sechs Thesen die wichtigsten Aspekte zum Thema und gibt Tipps für eine erfolgreiche Migrationsstrategie.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Ohne Passwort-Management keine IT-Sicherheit

Neben hochentwickelten Firewalls und Authentifizierungsverfahren spielt eine möglichst hohe Passwortsicherheit eine entscheidende Rolle für die…

14 Stunden ago

Starke Leistung im kompakten Desktop-PC | MSI Business & Productivity Desktop-PCs für vielseitige Anwendungen

Ein klassischer Desktop-PC im Tower-Format ist nicht für jeden geeignet, besonders bei begrenztem Arbeitsraum. MSI…

17 Stunden ago

Silicon Security Day Europe

Wie kann Künstliche Intelligenz helfen, den Krieg gegen Ransomware und "Nukleare" Ransomware 3.0 zu gewinnen?

18 Stunden ago

Silicon Security Day Austria

Beim Silicon Security Day in Österreich am 2. Juni 2022 ab 9:45 Uhr dreht sich…

18 Stunden ago

ONLYOFFICE kündigt umfangreiches Update für Kollaborationsplattform und Dokumenten-Editoren an

Die quelloffene Online-Office-Lösung ONLYOFFICE kündigt ein umfangreiches Update für ihre Kollaborationsplattform (ONLYOFFICE Workspace 12.0) und…

19 Stunden ago

VeeamON: Veeam wird Marktführer bei Data Protection

Auf der Konferenz VeeamON zeigt sich Veeam sehr optimistisch. Die Zahlen unabhängiger Marktforscher bestätigen den…

2 Tagen ago