Microsoft warnt vor Zero-Day-Lücke in IIS unter Windows 10 und Server 2016

Microsoft hat eine Sicherheitswarnung für Windows 10 und Server 2016 veröffentlicht. Der Fehler steckt in den Internet Information Services (IIS), die nicht in der Lage sind, bestimmte speziell gestalte HTTP/2-Anfragen zu verarbeiten. Sie können vorübergehend die CPU zu 100 Prozent auslasten, bis die schädliche Verbindung von den ISS beendet wird.

Auslöser sind offenbar die Spezifikationen für HTTP/2. Sie erlauben es Clients, eine beliebige Zahl von Settings Frames zusammen mit einer beliebigen Zahl von Settings Parametern einzustellen. „In einigen Situationen können übermäßig viele Settings zur Instabilität der Services und einer vorübergehenden Spitze der CPU-Nutzung führen, bis ein Verbindungs-Timeout erreicht und die Verbindung getrennt wird“, heißt es in dem Advisory.

Der Fehler wird nun durch eine neue Funktion beseitigt, die es erlaubt, eine Obergrenze für die Zahl der HTTP/2 Settings innerhalb einer Anfrage festzulegen. Microsoft weist jedoch darauf hin, dass diese Obergrenze vom IIS-Administrator eingerichtet werden muss – Microsoft lege dazu keine Voreinstellung fest.

Einen Patch bringt das Anfang der Woche veröffentlichte jüngste kumulative Update für Windows 10 Version 1607, 1703, 1709 und 1803. Der Fix steht zudem für Windows Server 2016, Windows Server Version 1709 und Windows Server Version 1803 zur Verfügung.

Entdeckt wurde der Bug von Gal Goldshtein, Software-Entwickler bei F5 Networks. Nutzer, die die ISS einsetzen, sollten nach Installation der Updates KB4487006, KB4487011, KB4487021 oder KB4487029 die HTTP/2-Einstellungen anpassen, um ein Einfrieren des Systems zu verhindern.

Whitepaper

SAP S/4HANA trifft ECM: Was Sie für eine erfolgreiche Migrationsstrategie beachten sollten

Ceyoniq beleutet in diesem Whitepaper anhand von sechs Thesen die wichtigsten Aspekte zum Thema und gibt Tipps für eine erfolgreiche Migrationsstrategie.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

3 Stunden ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

7 Stunden ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

8 Stunden ago

Lags beim Online-Gaming? DSL-Vergleich und andere Tipps schaffen Abhilfe

Beim Online-Gaming kommt es nicht nur auf das eigene Können an. Auch die technischen Voraussetzungen…

8 Stunden ago

GenKI-Fortbildung immer noch Mangelware

Fast jedes zweite Unternehmen bietet keinerlei Schulungen an. In den übrigen Betrieben profitieren oft nur…

8 Stunden ago

Netzwerk-Portfolio für das KI-Zeitalter

Huawei stellt auf der Connect Europe 2024 in Paris mit Xinghe Intelligent Network eine erweiterte…

11 Stunden ago