امکان اجرای حمله DoS در ویندوز سرورهای دارای وب‌سرور IIS، از طریق درخواست‌های مخرب HTTP/2
مشاور امنیتی مایکروسافت نقص امنیتی جدیدی را در سرور IIS منتشر نموده است، که به موجب آن زمانی که درخواست‌های HTTP/2 مخرب به ویندوز سرور ارسال می‌شوند، میزان استفاده از CPU به ۱۰۰% افزایش می‌یابد. این فرآیند مخرب، تا زمانی که توسط سرور IIS خاتمه داده نشود، به طور مستمر CPU را درگیر نموده و به طور موقت میزان استفاده از آن را به ۱۰۰% می‌رساند.
مهاجمان می‌توانند با ارسال درخواست‌های HTTP/2 ساختگی موجب حمله DoS شده و میزان استفاده از CPU را تا ۱۰۰% افزایش دهند که در این شرایط IIS به اجبار اتصالات مخرب را قطع می‌کند.
IIS یک وب‌سرور تولید شده توسط مایکروسافت است که پروتکل‌های HTTP، HTTP/2، HTTPS، FTP، FTPS، SMTP، و NNTP را پشتیبانی می‌کند.
این آسیب‌پذیری بالقوه، نسخه‌های نرم‌افزاری IIS را در ویندوز ۱۰، ویندوز سرور و ویندوز سرور ۲۰۱۶ تحت تأثیر قرار می‌دهد.
HTTP/2 یک نسخه اصلاح شده از پروتکل شبکه HTTP است که توسط شبکه جهانی وب مورد استفاده قرار می‌گیرد، و HTTP/2 اولین نسخه جدید پس از HTTP1.1 می‌باشد.
مایکروسافت در تشریح نقص یاد شده، اذعان داشت: "قابلیت‌های HTTP/2 به کلاینت‌ها اجازه می‌دهد که هر تعداد فریم SETTINGS را با هر تعداد دلخواه پارامتر SETTINGS تنظیم نمایند. در برخی از موارد، این تنظیمات می‌تواند موجب ناپایداری سرویس‌ها شده و میزان استفاده از CPU را تا زمان قطع ارتباط افزایش دهد."
مایکروسافت برای رفع باگ مورد نظر، یک به‌روزرسانی امنیتی تحت عنوان “Defense in Depth” منتشر نموده است.
مایکروسافت برای نقص مذکور هیچ اطلاعات فنی منتشر ننموده، اما یک مقدار آستانه برای تعداد SETTINGSهای HTTP/2 موجود در یک درخواست مشخص نموده است که می‌تواند در کاهش میزان خطر کمک‌کننده باشد.
پس از اعمال به‌روزرسانی، مدیران IIS قادر خواهند بود که تنظیمات HTTP/2 را به منظور جلوگیری از درخواست‌های مخرب، و افزایش میزان استفاده از CPU تغییر دهند.
*لذا توصیه می‌گردد، مدیران هر چه سریعتر نسبت به بروزرسانی و اعمال وصله مورد نظر اقدام نمایند.
