Neue Sicherheitslücke in HTTP/2 ermöglicht großangelegte DoS-Angriffe

LONDON (IT BOLTWISE) – Eine neue Sicherheitslücke im HTTP/2-Protokoll, bekannt als MadeYouReset, bedroht die Stabilität von Webservern weltweit. Diese Schwachstelle ermöglicht es Angreifern, die Beschränkungen für gleichzeitige Anfragen zu umgehen und so leistungsstarke Denial-of-Service (DoS)-Angriffe durchzuführen.

Die kürzlich entdeckte Sicherheitslücke MadeYouReset im HTTP/2-Protokoll hat das Potenzial, die Stabilität von Webservern erheblich zu gefährden. Diese Schwachstelle ermöglicht es Angreifern, die normalerweise geltende Beschränkung von 100 gleichzeitigen HTTP/2-Anfragen pro TCP-Verbindung zu umgehen. Dadurch können Tausende von Anfragen gesendet werden, was zu einem Denial-of-Service (DoS)-Zustand führt, der legitime Nutzer ausschließt und in einigen Fällen sogar zu Speicherüberläufen und Abstürzen führen kann.

Die Schwachstelle, die unter der generischen CVE-Nummer CVE-2025-8671 registriert ist, betrifft mehrere Produkte, darunter Apache Tomcat, F5 BIG-IP und Netty. MadeYouReset baut auf früheren Schwachstellen wie Rapid Reset und HTTP/2 CONTINUATION Flood auf, die ebenfalls für großangelegte DoS-Angriffe genutzt werden können. Diese Angriffe nutzen spezifische Frames im HTTP/2-Protokoll, um Server zu überlasten und zum Zurücksetzen von Streams zu zwingen.

Ein entscheidender Aspekt von MadeYouReset ist die Fähigkeit, die Rapid Reset-Maßnahmen zu umgehen, die die Anzahl der Streams begrenzen, die ein Client mit RST_STREAM abbrechen kann. Durch das Senden sorgfältig gestalteter Frames, die Protokollverletzungen auf unerwartete Weise auslösen, wird der Server dazu gebracht, den Stream zurückzusetzen, während die Backend-Verarbeitung fortgesetzt wird. Dies führt zu einer Ressourcenerschöpfung, die Angreifer ausnutzen können, um einen DoS-Zustand herbeizuführen.

Die CERT Coordination Center (CERT/CC) hat in einer Beratung darauf hingewiesen, dass MadeYouReset eine Diskrepanz zwischen den HTTP/2-Spezifikationen und den internen Architekturen vieler Webserver ausnutzt. Dies unterstreicht die zunehmende Komplexität moderner Protokollmissbräuche und die Notwendigkeit, HTTP/2 gegen subtile, spezifikationskonforme Angriffe zu schützen. Die Entdeckung dieser Schwachstelle zeigt, dass die Sicherheit von Webinfrastrukturen kontinuierlich verbessert werden muss, um neuen Bedrohungen standzuhalten.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Vikye KI -Roboter Angetrieben von Deepseek, Smart Talking Desk Companion mit 1,28 "Bildschirm, Sprachsteuerung, WLAN -Wetteruhr und Bluetooth Music Player

30,50 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

ZOOI Geschenke für Männer, Geburtstagsgeschenk für Männer, Gadgets für Männer, Geschenke für Papa Geschenk Männergeschenk Adventskalender Füllung Männer, Bluetooth Lautsprecher mit Handyständer

17,84 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

QCOQ® Air Tags 4er Pack Schwarz, Schlüsselfinder & Air Tracker Tagg Kompatibel mit Apple Wo ist? App (Nur iOS), Smart Key Finder mit Schlüsselband, Koffer-Tracker für Taschen/Keys, Austauschbarer Akku

29,99 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

169,00 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!