CVE-2019-9513

Описание

Существует уязвимость DoS в стеке протокола HTTP/2 (HTTP.sys), возникающая при некорректном разборе HTTP.sys специально сформированных запросов HTTP/2. Злоумышленник, успешно использующий эту уязвимость, способен вызвать состояние DoS, из-за чего система перестанет реагировать на запросы.

Условия эксплуатации

Злоумышленник может использовать эту уязвимость, отправив специально сформированный HTTP запрос на целевую систему, что повлечет за собой неотзывчивость пораженной системы.

Решение

Обновление устраняет уязвимость, модифицируя способ обработки запросов HTTP/2 стеком протоколов HTTP в Windows. Обратите внимание, что уязвимость DoS не позволяет злоумышленнику выполнять код или повышать уровень доступа пользователя.

Способы защиты

Следующая мера защиты может помочь в вашей ситуации. Во всех случаях Microsoft настоятельно рекомендует установить обновления для этой уязвимости как можно скорее, даже если вы планируете оставить данное решение:

Отключите протокол HTTP/2 на вашем веб-сервере с использованием Редактора реестра

Примечание: Некорректное использование Редактора реестра может вызвать серьезные проблемы, которые могут потребовать переустановки операционной системы. Microsoft не может гарантировать, что проблемы, вызванные некорректным использованием Редактора реестра, могут быть решены. Используйте Редактор реестра на ваш страх и риск. Для получения информации о том, как редактировать реестр, ознакомьтесь с разделом "Изменение ключей и значений" в справке Редактора реестра (Regedit.exe) или с разделами "Добавление и удаление информации в реестре" и "Редактирование данных реестра" в Regedt32.exe.

1. Нажмите Пуск, выберите Выполнить, введите Regedit в поле Открыть, затем нажмите OK.
2. Найдите и щелкните следующий подраздел реестра:
   HKLM\SYSTEM\CurrentControlSet\Services\HTTP\Parameters
3. Установите значения типа DWORD для EnableHttp2TIs и EnableHttp2Cleartext следующим образом:
   • Установите 0, чтобы отключить HTTP/2
   • Установите 1, чтобы включить HTTP/2
4. Выйдите из Редактора реестра.
5. Перезагрузите компьютер.

Часто задаваемые вопросы (FAQ)

После установки обновлений для HTTP/2, нужно ли сделать что-то еще для защиты от этой уязвимости?

Да. Обновление добавляет настройки конфигурации на сервер IIS, но эти настройки по умолчанию выключены. Для полной защиты от уязвимостей администратору необходимо настроить сервер на ограничение количества принимаемых пакетов HTTP/2. Это может варьироваться в зависимости от окружения и работающих на каждом сервере сервисов.

Примечание: Некорректное использование Редактора реестра может вызвать серьезные проблемы, которые могут потребовать переустановки операционной системы. Microsoft не может гарантировать, что проблемы, вызванные некорректным использованием Редактора реестра, могут быть решены. Используйте Редактор реестра на ваш страх и риск.

Настройка соединений

1. Нажмите Пуск, выберите Выполнить, введите Regedit в поле Открыть, затем нажмите OK.
2. Найдите и щелкните следующий подраздел реестра:
   HKLM\SYSTEM\CurrentControlSet\Services\HTTP\Parameters
3. Установите значение типа DWORD для Http2MaxPingsPerMinute:
   • Диапазон от 0 до 0xFF
   • Это устанавливает максимальное количество пинг-запросов в минуту, которые клиент может отправить на сервер
4. Выйдите из Редактора реестра.
5. Перезагрузите компьютер.

Настройка потоков

1. Нажмите Пуск, выберите Выполнить, введите Regedit в поле Открыть, затем нажмите OK.
2. Найдите и щелкните следующий подраздел реестра:
   HKLM\SYSTEM\CurrentControlSet\Services\HTTP\Parameters
3. Установите значения типа DWORD для любых из следующих ключей:
   • Http2MaxServerResetsPerMinute
     • Диапазон от 0 до 0xFFFF
     • Устанавливает максимальное количество запросов в минуту от клиента, которые могут генерировать серверные сбросы
   • Http2MaxPrioritiesPerStream
     • Диапазон от 0 до 0xFF
     • Устанавливает максимальное количество приоритетных кадров в минуту, которые клиент может отправить на сервер
   • Http2MaxResetsPerStream
     • Диапазон от 0 до 0xFF
     • Устанавливает максимальное количество кадров сброса в минуту, которые клиент может отправить на сервер
   • Http2MaxUnknownsPerStream
     • Диапазон от 0 до 0xFF
     • Устанавливает максимальное количество неизвестных кадров в минуту, которые клиент может отправить на сервер
   • Http2MaxWindowUpdatesPerSend
     • Диапазон от 0 до 0xFF
     • Устанавливает максимальное количество обновлений окна в минуту, которые клиент может отправить на сервер
   • Http2MinimumSendWindowSize
     • Диапазон от 0 до 0xFFFF
     • Устанавливает минимальный размер окна для отправки фреймов данных
4. Выйдите из Редактора реестра.
5. Перезагрузите компьютер.