Ein neuer Denial-of-Service-Angriff – DoS – namens HTTP/2 Bomb zeigt, wie leicht sich Webserver mit wenig Aufwand außer Betrieb setzen lassen. Für Unternehmen ist vor allem wichtig: Schon ein einzelner Angreifer kann öffentliche Websites, Kundenportale oder APIs innerhalb von Sekunden unerreichbar machen. Es gibt aber Abhilfe.
Nach dem aktuellen Bericht der Sicherheitsforscher von Calif betrifft das Problem verbreitete Webserver wie nginx, Apache HTTPD, Microsoft IIS, Envoy und Pingora. Nach Schätzungen könnten mehr als 880.000 Websites betroffen sein, wenn sie HTTP/2 in Standardkonfigurationen einsetzen. Im Unterschied zu großen DDoS-Wellen braucht dieser Angriff keine riesige Botnet-Infrastruktur. Laut den Berichten reicht bereits ein einzelnes System mit normaler Internetanbindung, um betroffene Server in kurzer Zeit zu überlasten. Für Unternehmen bedeutet das ein unmittelbares Verfügbarkeitsrisiko für Webangebote, Self-Service-Portale, Partnerzugänge und digitale Geschäftsprozesse.
Neuartige DDoS-Attacke HTTP/2 Bomb
Erste Hersteller haben bereits reagiert: Für nginx und Apache HTTPD stehen Korrekturen oder Gegenmaßnahmen bereit. Für Microsoft IIS und Envoy lag zum Zeitpunkt der Berichte noch kein offizieller Patch vor; bei Pingora wurde teils auf bestehende Schutzmechanismen verwiesen. Wer betroffen ist, sollte daher nicht auf Standardkonfigurationen vertrauen, sondern die eigene HTTP/2-Nutzung aktiv überprüfen.
IT-Verantwortliche sollten daher prüfen: Wo ist HTTP/2 auf extern erreichbaren Systemen aktiv, und welche Produkte sind im Einsatz ? Wenn Patches verfügbar sind, sollten sie kurzfristig eingespielt werden; falls nicht, kann eine vorübergehende Einschränkung oder Deaktivierung von HTTP/2 auf exponierten Diensten das Risiko senken. Besonders wichtig ist das für geschäftskritische Plattformen, bei denen schon kurze Ausfälle direkte Folgen für Kunden, Umsatz oder Service-Level haben.
Konkrete öffentlich benannte Unternehmensopfer wurden in den bisher vorliegenden Berichten nicht genannt. Dokumentiert sind bislang vor allem erfolgreiche Tests und reproduzierbare Störungen auf verwundbaren Servern mit nginx, Apache HTTPD, Microsoft IIS und Envoy, bei denen Dienste innerhalb von Sekunden instabil wurden oder ausfielen. Entsprechende technische Details nennen die Forscher in einem Blog-Beitrag.
Mehr bei Calif.io