CVE-2023-44487

HIGH(7.5)KEVWahrscheinlich ausgenutzt

HTTP/2 Rapid Reset Attack Vulnerability

Beschreibung

CVE-2023-44487 ist eine Schwachstelle im HTTP/2-Protokoll, die als "HTTP/2 Rapid Reset" bekannt wurde und eine unkontrollierte Ressourcenerschoepfung (Denial of Service) ermoeglicht. Die Sicherheitsluecke betrifft nahezu alle Webserver und Reverse-Proxies, die HTTP/2 unterstuetzen, darunter Produkte von IETF, nghttp2, Netty, Envoy, Eclipse Jetty, Caddy, Golang und zahlreiche F5 BIG-IP-Module. Ein Angreifer kann durch schnelles Oeffnen und sofortiges Zuruecksetzen (RST_STREAM) einer grossen Anzahl von HTTP/2-Streams die Serverressourcen ueberlasten und so einen Denial-of-Service-Zustand ausloesen. Diese Schwachstelle wurde von August bis Oktober 2023 aktiv in freier Wildbahn ausgenutzt, ist im KEV-Katalog der CISA gelistet und erreicht mit einem EPSS-Score von 94,4 % (99,97. Perzentil) eine nahezu sichere Ausnutzungswahrscheinlichkeit.

KEV-Informationen

Hersteller
IETF
Produkt
HTTP/2
Hinzugefügt am
10. Oktober 2023
Fälligkeitsdatum
31. Oktober 2023
Erforderliche Maßnahme
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CVSS-Score

Vektorstring
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HIm Rechner öffnen
Angriffsvektor
NETWORK
Angriffskomplexität
LOW
Erforderliche Privilegien
NONE
Benutzerinteraktion
NONE
Scope
UNCHANGED
Vertraulichkeitsauswirkung
NONE
Integritätsauswirkung
NONE
Verfügbarkeitsauswirkung
HIGH
Ausnutzbarkeitsscore
3.9
Auswirkungsscore
3.6

CWEs

CWE-400Resource Consumption

Uncontrolled Resource Consumption

Betroffene Produkte

HerstellerProduktVersion
siemenssimatic s7-1500 cpu 1518f-4 pn\/dp mfp firmware>= 3.1.5
siemenssinec ins< 1.0; 1.0
siemenssinec nms< 3.0
siemensst7 scadaconnect< 1.1
siemensruggedcom ape1808 firmware-
siemenssimatic s7-1500 cpu 1518-4 pn\/dp mfp firmware>= 3.1.5
siemenssiplus s7-1500 cpu 1518-4 pn\/dp mfp firmware>= 3.1.5
ietfhttp2.0
nghttp2nghttp2< 1.57.0
nettynetty< 4.1.100
envoyproxyenvoy1.24.10; 1.25.9; 1.26.4; 1.27.0
eclipsejetty< 9.4.53; >= 10.0.0, < 10.0.17; >= 11.0.0, < 11.0.17; >= 12.0.0, < 12.0.2
caddyservercaddy< 2.7.5
golanggo< 1.20.10; >= 1.21.0, < 1.21.3
golanghttp2< 0.17.0
golangnetworking< 0.17.0
f5big-ip access policy manager>= 13.1.0, <= 13.1.5; >= 14.1.0, <= 14.1.5; >= 15.1.0, <= 15.1.10; >= 16.1.0, <= 16.1.4; 17.1.0
f5big-ip advanced firewall manager>= 13.1.0, <= 13.1.5; >= 14.1.0, <= 14.1.5; >= 15.1.0, <= 15.1.10; >= 16.1.0, <= 16.1.4; 17.1.0
f5big-ip advanced web application firewall>= 13.1.0, <= 13.1.5; >= 14.1.0, <= 14.1.5; >= 15.1.0, <= 15.1.10; >= 16.1.0, <= 16.1.4; 17.1.0
f5big-ip analytics>= 13.1.0, <= 13.1.5; >= 14.1.0, <= 14.1.5; >= 15.1.0, <= 15.1.10; >= 16.1.0, <= 16.1.4; 17.1.0

Mehrere CVSS-Bewertungen

Quelle: [email protected](Primary)
7.5
HIGH

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0(Secondary)
7.5
HIGH

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Referenzen

Schwachstellentyp

CWE-400: Uncontrolled Resource Consumption

Bei CVE-2023-44487 manifestiert sich die unkontrollierte Ressourcenerschoepfung darin, dass das HTTP/2-Protokoll es erlaubt, eine grosse Anzahl von Streams in schneller Folge zu oeffnen und sofort wieder zurueckzusetzen, wodurch der Server erhebliche Rechenleistung fuer die Verarbeitung und Bereinigung dieser Streams aufwenden muss, ohne dass der Client nennenswerte Ressourcen verbraucht. Diese Asymmetrie zwischen Client- und Serveraufwand fuehrt zu einer effektiven Denial-of-Service-Attacke.

Mehr erfahren: CWE-400 -- Uncontrolled Resource Consumption

Auswirkungsanalyse

CVE-2023-44487 ist mit einem CVSS-Score von 7.5 (HIGH) bewertet und ueber das Netzwerk ohne physischen Zugang ausnutzbar. Die Angriffsomplexitaet ist gering, es werden keine Berechtigungen oder Benutzerinteraktionen benoetigt, was die Schwachstelle besonders leicht ausnutzbar macht. Verfuegbarkeit (Hoch): Der primaere Einfluss liegt auf der Verfuegbarkeit -- betroffene Server koennen durch die Rapid-Reset-Attacke vollstaendig ueberlastet und fuer legitime Benutzer unerreichbar gemacht werden. Vertraulichkeit und Integritaet sind nicht direkt betroffen (beide NONE). Der EPSS-Score von 94,4 % weist auf eine extrem hohe Wahrscheinlichkeit aktiver Ausnutzung hin, was durch die dokumentierte Ausnutzung in der Praxis mit rekordverdaechtigen DDoS-Angriffen bestaetigt wird.

Exploit-Reifegrad

Oeffentlicher Exploit-Code ist verfuegbar fuer CVE-2023-44487, unter anderem ueber GitHub (micrictor) und NetApp Advisory. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen, wobei der Ransomware-Status als "Unknown" eingestuft ist. Der EPSS-Score von 94,4 % (99,97. Perzentil) weist auf eine nahezu sichere Ausnutzungsaktivitaet hin, was durch die dokumentierten rekordverdaechtigen DDoS-Angriffe von August bis Oktober 2023 untermauert wird.

Behebung

  1. Sofortige Patches anwenden: Gemaess CISA-Vorgabe (Frist: 31.10.2023) muessen Abmilderungsmassnahmen gemaess den Herstelleranweisungen umgesetzt oder das betroffene Produkt ausser Betrieb genommen werden. Aktualisieren Sie alle HTTP/2-faehigen Server und Reverse-Proxies auf gepatchte Versionen (z. B. nghttp2 >= 1.57.0, Netty >= 4.1.100, Caddy >= 2.7.5, Go-Standardbibliothek mit aktuellen Patches).
  2. HTTP/2-Stream-Limits konfigurieren: Begrenzen Sie die maximale Anzahl gleichzeitiger Streams und die Rate, mit der neue Streams geoeffnet werden koennen, auf Serverebene (z. B. SETTINGS_MAX_CONCURRENT_STREAMS und RST_STREAM-Rate-Limiting).
  3. Rate-Limiting und DDoS-Schutz aktivieren: Setzen Sie WAF-Regeln und Load-Balancer ein, die ungewoehnlich hohe Stream-Reset-Raten erkennen und blockieren. Cloud-basierte DDoS-Schutzdienste (z. B. Cloudflare, AWS Shield) bieten spezifische Abmilderungen fuer HTTP/2 Rapid Reset.
  4. Monitoring und Protokollanalyse: Ueberwachen Sie HTTP/2-Verbindungsmetriken auf ungewoehnlich hohe RST_STREAM-Raten. Pruefen Sie Webserver-Logs auf Anzeichen von Rapid-Reset-Angriffen und konfigurieren Sie Alarme fuer ploetzliche Anstiege der Verbindungszahlen.
  5. Fallback auf HTTP/1.1 als Notfallmassnahme: Falls Patches nicht sofort verfuegbar sind, kann als voruebergehende Massnahme HTTP/2 deaktiviert und auf HTTP/1.1 zurueckgefallen werden, um die Angriffsflaeche zu eliminieren.

Technische Details

CVE-2023-44487 nutzt eine Designschwaeche im HTTP/2-Protokoll aus, die als unkontrollierte Ressourcenerschoepfung (CWE-400) klassifiziert wird. Der Angriff funktioniert, indem ein Client eine grosse Anzahl von HTTP/2-Streams oeffnet (HEADERS-Frame) und diese sofort mit einem RST_STREAM-Frame zuruecksetzt, bevor der Server die Anfrage vollstaendig verarbeitet hat. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H) bestaetigt, dass der Angriff remote, ohne Authentifizierung und ohne Benutzerinteraktion durchfuehrbar ist und ausschliesslich die Verfuegbarkeit beeintraechtigt. Da die Verarbeitung und Bereinigung eines Streams auf Serverseite deutlich mehr Ressourcen verbraucht als das Senden eines RST_STREAM-Frames auf Clientseite, entsteht eine massive Asymmetrie, die es einem einzelnen Client ermoeglicht, selbst leistungsstarke Server zu ueberlasten. Diese Schwachstelle betrifft das HTTP/2-Protokoll selbst und damit praktisch jede Implementierung, die keine expliziten Rate-Limits fuer Stream-Resets durchsetzt.

Häufig gestellte Fragen

Wird CVE-2023-44487 aktiv ausgenutzt?

Ja, CVE-2023-44487 wird aktiv ausgenutzt und ist im KEV-Katalog (Known Exploited Vulnerabilities) der CISA gelistet. Die Schwachstelle wurde von August bis Oktober 2023 fuer rekordverdaechtige DDoS-Angriffe missbraucht. Der EPSS-Score von 94,4 % (99,97. Perzentil) bestaetigt die extrem hohe Ausnutzungswahrscheinlichkeit.

Welche Produkte sind von CVE-2023-44487 betroffen?

CVE-2023-44487 betrifft praktisch alle Webserver und Reverse-Proxies mit HTTP/2-Unterstuetzung. Zu den bekannten betroffenen Produkten gehoeren unter anderem nghttp2, Netty, Envoy Proxy, Eclipse Jetty, Caddy, Golang HTTP/2-Implementierungen sowie zahlreiche F5 BIG-IP-Module. Da es sich um eine Protokollschwaeche handelt, sind potenziell alle HTTP/2-Implementierungen betroffen.

Wie behebe ich CVE-2023-44487?

Aktualisieren Sie alle betroffenen HTTP/2-Server und -Bibliotheken auf die neuesten gepatchten Versionen. Konfigurieren Sie Stream-Limits und RST_STREAM-Rate-Limiting auf Serverebene. Detaillierte Schritte finden Sie im Abschnitt Behebung.

Wie schwerwiegend ist CVE-2023-44487?

CVE-2023-44487 hat einen CVSS-Score von 7.5 (HIGH) und liegt mit einem EPSS-Perzentil von 99,97 % in der Spitzengruppe der am haeufigsten ausgenutzten Schwachstellen. Obwohl nur die Verfuegbarkeit betroffen ist, kann die Schwachstelle zu vollstaendigen Dienstausfaellen fuehren und wurde fuer die groessten jemals gemessenen DDoS-Angriffe eingesetzt.

CVSS-Score

7.5
HIGH(7.5)

EPSS-Score

EPSS-Score100.00%
EPSS-Perzentil100.0%

Daten

Veröffentlicht10. Oktober 2023
Zuletzt geändert11. August 2026
StatusAnalyzed
CVSS-Versionv3.1

Quick Links

Zurück zur CVE-Datenbank

Hilfe beim Schwachstellenmanagement?

Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.

Kontakt aufnehmen