Microsoft warnt vor Zero-Day-Lücke in IIS unter Windows 10 und Server 2016

Microsoft hat eine Sicherheitswarnung für Windows 10 und Server 2016 veröffentlicht. Der Fehler steckt in den Internet Information Services (IIS), die nicht in der Lage sind, bestimmte speziell gestalte HTTP/2-Anfragen zu verarbeiten. Sie können vorübergehend die CPU zu 100 Prozent auslasten, bis die schädliche Verbindung von den ISS beendet wird.

Auslöser sind offenbar die Spezifikationen für HTTP/2. Sie erlauben es Clients, eine beliebige Zahl von Settings Frames zusammen mit einer beliebigen Zahl von Settings Parametern einzustellen. „In einigen Situationen können übermäßig viele Settings zur Instabilität der Services und einer vorübergehenden Spitze der CPU-Nutzung führen, bis ein Verbindungs-Timeout erreicht und die Verbindung getrennt wird“, heißt es in dem Advisory.

Der Fehler wird nun durch eine neue Funktion beseitigt, die es erlaubt, eine Obergrenze für die Zahl der HTTP/2 Settings innerhalb einer Anfrage festzulegen. Microsoft weist jedoch darauf hin, dass diese Obergrenze vom IIS-Administrator eingerichtet werden muss – Microsoft lege dazu keine Voreinstellung fest.

Einen Patch bringt das Anfang der Woche veröffentlichte jüngste kumulative Update für Windows 10 Version 1607, 1703, 1709 und 1803. Der Fix steht zudem für Windows Server 2016, Windows Server Version 1709 und Windows Server Version 1803 zur Verfügung.

Entdeckt wurde der Bug von Gal Goldshtein, Software-Entwickler bei F5 Networks. Nutzer, die die ISS einsetzen, sollten nach Installation der Updates KB4487006, KB4487011, KB4487021 oder KB4487029 die HTTP/2-Einstellungen anpassen, um ein Einfrieren des Systems zu verhindern.

Whitepaper

SAP S/4HANA trifft ECM: Was Sie für eine erfolgreiche Migrationsstrategie beachten sollten

Ceyoniq beleutet in diesem Whitepaper anhand von sechs Thesen die wichtigsten Aspekte zum Thema und gibt Tipps für eine erfolgreiche Migrationsstrategie.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Bedrohungsindex: Deutliche Zunahme von Infostealern im Oktober

Dazu trägt unter der Infostealer Lumma-Stealer bei. Hierzulande dominiert der Infostealer Formbook die Malware-Landschaft.

14 Stunden ago

Chrome 131 schließt zwölf Sicherheitslücken

Eine schwerwiegende Anfälligkeit hebelt die Sicherheitsfunktion Seitenisolierung auf. Betroffen sind Chrome für Windows, macOS und…

14 Stunden ago

DeepL Voice mit KI für Sprach- übersetzungen

DeepL Voice ermöglicht Live‑Übersetzung von Meetings und Gesprächen in 13 Sprachen.

16 Stunden ago

November-Patchday: Microsoft schließt Zero-Day-Lücken in Windows

Betroffen sind Windows und Windows Server. Microsoft patcht aber auch Schwachstellen in Excel, Word und…

20 Stunden ago

LG zeigt elastisches OLED-Display

Es lässt sich um bis zu 50 Prozent dehnen. Allerdings besitzt es eine deutliche geringere…

2 Tagen ago

BSI zu Cybersicherheit: Bedrohungslage bleibt angespannt

Allerdings nimmt auch die Resilienz gegenüber Cyberattacken zu. Das BSI hat außerdem die Cybersicherheit anstehender…

2 Tagen ago