Microsoft предупреждает о баге в IIS, из-за которого серверы уязвимы перед DoS

Рекомендуем почитать:

Xakep #238. Забытый Android

• Содержание выпуска
• Подписка на «Хакер»

Разработчики Microsoft выпустили обновления и бюллетень безопасности, посвященные проблеме в IIS (Internet Information Services), связанной с обработкой запросов HTTP/2.

Проблема, чреватая отказом в обслуживании (DoS), угрожает IIS серверам в Windows Server 2016, Windows Server Version 1709, Windows Server Version 1803, а также Windows 10 (версии 1607, 1703, 1709, 1803).

Сообщается, что баг был обнаружен специалистами F5 Networks и связан с обработкой запросов HTTP/2. Так, специально созданный запрос может спровоцировать временное повышение нагрузки на процессор до 100%, тем самым замедлив или «повесив» систему, пока опасное соединение не будет разорвано IIS.

Для исправления проблемы уже были выпущены патчи (KB4487006, KB4487011, KB4487021 и KB4487029), однако в Microsoft подчеркивают, что одной только их установки будет недостаточно для защиты. Администраторам придется настроить HTTP/2 SETTINGS, задав ограничения самостоятельно. Разработчики уже опубликовали отдельный бюллетень, посвященный этому вопросу и детально описывающий процесс настройки.

Источник