体球网

您所在的位置:体球网 >体球网

TIQIUWANG

微软警告说Windows服务器易受DoS攻击

2019-03-01 02:49:59 PM

微软告知用户,运行Internet信息服务(IIS)的Windows服务器容易受到依赖恶意HTTP 2请求的拒绝服务(DoS)攻击。


根据该巨头的说法,发送特制的HTTP2请求可导致机器的CPU暂时达到100%,直到使IIS死机停止服务。


微软在其公告中表示 HTTP2规范允许客户端使用任意数量的SETTINGS参数指定任意数量的SETTINGS帧。在某些情况下,过多的设置会导致服务变得不稳定,并可能导致临时CPU使用率激增,直到达到连接超时并关闭连接。


该漏洞影响Windows 10、Windows Server和Windows Server 2016等诸多版本,本周发布的2月非安全更新通过允许IIS管理员定义请求中包含的HTTP2设置数量的阈值来解决此问题。


但应注意Microsoft发布的更新默认情况下是不定义任何值的,IIS管理员手动自行执行此操作。微软将此漏洞报告归功于F5 Networks的Gal Goldshtein。值得注意的是,Goldshtein 最近在nginx开源网络服务器软件中发现了一个跟CVE-2018-16844类似的类似漏洞。


Microsoft IIS中的漏洞缺陷可能会给使用IIS作为其公司网站或应用程序的企业组织带来严重的安全问题。虽然Microsoft已经开发了一个修补程序来解决此问题,IT团队仍需要具备正确配置IIS的能力,以解决问题。微软明确表示他们不提供预设,因此修复问题不仅仅是应用补丁,还需要有经验的IT人员的进一步参与。