CVE-2019-9518

Описание

Уязвимость DoS атаки присутствует в протоколе HTTP/2 (HTTP.sys) из-за некорректной обработки специально сформированных HTTP/2-запросов. Злоумышленник, успешно эксплуатировавший уязвимость, способен создать ситуацию DoS атаки, заставляя целевую систему стать неотзывчивой.

Условия эксплуатации

Для эксплуатации уязвимости злоумышленник может отправить специально сформированный HTTP пакет на целевую систему, заставляя ее стать неотзывчивой.

Решение

Обновление исправляет уязвимость, модифицируя обработку HTTP/2-запросов в протоколе Windows HTTP. Обратите внимание, что уязвимость DoS атаки не позволяет злоумышленнику выполнить код или повысить уровень доступа пользователя.

Меры защиты

Следующая мера защиты может быть полезна в вашей ситуации. Во всех случаях Microsoft настоятельно рекомендует установить обновления для этой уязвимости как можно скорее, даже если вы планируете оставить этот способ защиты:

Отключите протокол HTTP/2 на вашем веб-сервере, используя редактор реестра

Примечание: Некорректное использование редактора реестра может вызвать серьезные проблемы, которые могут потребовать переустановки операционной системы. Microsoft не гарантирует, что проблемы, возникшие в результате некорректного использования редактора реестра, могут быть решены. Используйте редактор реестра на свой страх и риск. Для получения информации о редактировании реестра ознакомьтесь с помощью по теме "Изменение ключей и значений" в редакторе реестра (Regedit.exe) или с темами справки "Добавление и удаление информации в реестре" и "Редактирование данных реестра" в Regedt32.exe.

1. Нажмите Пуск, выберите Выполнить, введите Regedit в поле Открыть и нажмите OK.
2. Найдите и выберите следующий подраздел реестра: HKLM\SYSTEM\CurrentControlSet\Services\HTTP\Parameters
3. Установите значения типа DWORD для EnableHttp2TIs и EnableHttp2Cleartext на одно из следующих:
   • Установите на 0 для отключения HTTP/2
   • Установите на 1 для включения HTTP/2
4. Выйдите из редактора реестра.
5. Перезагрузите компьютер.

Часто задаваемые вопросы (FAQ)

После установки обновлений для HTTP/2, нужно ли делать что-то еще для защиты от этой уязвимости?

Да. Обновление добавляет параметры конфигурации на IIS сервер, но эти параметры по умолчанию выключены. Для полной защиты от уязвимостей администратор должен настроить свой сервер на ограничение количества принимаемых HTTP/2-пакетов. Это может варьироваться в зависимости от окружения и запущенных на каждом сервере сервисов.

Настройки, специфичные для подключения

1. Нажмите Пуск, выберите Выполнить, введите Regedit в поле Открыть и нажмите OK.
2. Найдите и выберите следующий подраздел реестра: HKLM\SYSTEM\CurrentControlSet\Services\HTTP\Parameters
3. Установите значение типа DWORD для Http2MaxPingsPerMinute:
   • Диапазон между 0 и 0xFF
   • Это задает максимальное количество пингов в минуту, которое клиент может отправить серверу
4. Выйдите из редактора реестра.
5. Перезагрузите компьютер.

Настройки, специфичные для потока

1. Нажмите Пуск, выберите Выполнить, введите Regedit в поле Открыть и нажмите OK.
2. Найдите и выберите следующий подраздел реестра: HKLM\SYSTEM\CurrentControlSet\Services\HTTP\Parameters
3. Установите значения типа DWORD для следующих ключей:
   • Http2MaxServerResetsPerMinute
     • Диапазон между 0 и 0xFFFF
     • Это задает максимальное количество запросов в минуту от клиента, способных генерировать серверные сбросы
   • Http2MaxPrioritiesPerStream
     • Диапазон между 0 и 0xFF
     • Это задает максимальное количество приоритетных фреймов в минуту, которые клиент может отправить серверу
   • Http2MaxResetsPerStream
     • Диапазон между 0 и 0xFF
     • Это задает максимальное количество фреймов сброса в минуту, которые клиент может отправить серверу
   • Http2MaxUnknownsPerStream
     • Диапазон между 0 и 0xFF
     • Это задает максимальное количество неизвестных фреймов в минуту, которые клиент может отправить серверу
   • Http2MaxWindowUpdatesPerSend
     • Диапазон между 0 и 0xFF
     • Это задает максимальное количество фреймов обновления окна в минуту, которые клиент может отправить серверу
   • Http2MinimumSendWindowSize
     • Диапазон между 0 и 0xFFFF
     • Это задает минимальный размер окна отправки для фреймов данных
4. Выйдите из редактора реестра.
5. Перезагрузите компьютер.