Servidores de Windows que correm IIS estão vulneráveis a ataques de DoS

Para desencadear esta situação, os atacantes podem mandar pedidos especialmente criados de HTTP/2, sendo que isso irá gerar um uso de CPU a chegar temporariamente aos 100%, forçando os serviços de informação da Internet (IIS) a mandarem as conexões maliciosas abaixo.

O que é o HTTP/2?

Permite que os clientes especifiquem qualquer número de frames de configurações com qualquer número de parâmetros dessas configurações. E por vezes, configurações em excesso podem tornar os serviços instáveis e levar a um uso temporário de CPU ao limite até que aconteça observamos um timeout na ligação e a conexão seja fechada.

Produtos afetados

- Windows 10, Windows Server e Windows Server 2016

Solução

- Atualizar o produto

- os administradores devem definir thresholds quanto ao número de configurações HTTP/2 incluídas num pedido, já que os mesmos não são predefinidos pela Microsoft

Mais informações neste guia da Microsoft: https://support.microsoft.com/en-us/help/4491420/define-thresholds-on-the-number-of-http-2-settings-parameters-exchange