DDOS Schwachstelle in Varnish Cache gefunden

Neue Sicherheitslücke in Varnish Cache erlaubt Denial-of-Service-Angriffe

Ein Sicherheitsbulletin vom 18. März 2024 warnt vor einer Schwachstelle in Varnish Cache, einem beliebten HTTP-Accelerator. Die Schwachstelle CVE-2024-30156 betrifft Versionen vor 7.3.2, 7.4.3 (und vor 6.0.13 LTS) sowie Varnish Enterprise 6 vor Version 6.0.12r6.

Sie ermöglicht Angreifern, eine sogenannte “Broke Window Attack” durchzuführen. Dabei werden die Credits für das Steuerungsfenster einer HTTP/2-Verbindung erschöpft, was zu einer Unterbrechung der Kommunikation zwischen Server und Client führen kann. Dieser Angriff kann als eine Form des Distributed Denial-of-Service (DoS) angesehen werden.

Die Schwachstelle wurde erstmals 2019 theoretisiert und im August 2023 bestätigt. Im Laufe der Untersuchung wurde festgestellt, dass diese spezifische Sicherheitslücke es einem Angreifer ermöglicht, die HTTP/2-Verbindungskontrolle des Varnish-Servers in eine Sackgasse zu treiben. Dies führt dazu, dass der Server nicht mehr in der Lage ist, Streams zu verarbeiten, wodurch die Ressourcen dauerhaft gebunden bleiben. Von der Schwachstelle sind alle Varnish Cache-Versionen mit HTTP/2-Unterstützung betroffen, ausgenommen die neuesten Updates: Varnish Cache 7.3.2, 7.4.3, die 6.0 LTS-Version 6.0.13 und Varnish Enterprise 6.0.12r6.

Anwender von Varnish Cache werden dringend aufgefordert, auf die neuesten Versionen zu aktualisieren, um diese Schwachstelle zu beheben. Wenn ein sofortiges Update nicht möglich ist, kann das Problem gemildert werden, indem die Unterstützung für HTTP/2 vorübergehend deaktiviert wird. Nach dem Update sind zwei Milderungsmaßnahmen standardmäßig aktiviert, darunter ein neues h2_window_timeout, das “gebrochene” HTTP/2-Streams zurücksetzt.

Administratoren können die Stabilität ihrer Systeme überwachen, indem sie den MAIN.sc_bankrupt-Zähler beobachten, der bei einer Verbindungsbankrott erhöht wird. Vor der Behebung hätte mit Varnish Enterprise ein möglicher Angriff durch die Beobachtung von feststeckenden HTTP/2-Streams erkannt werden können.

Tags :

Related Posts

Fujitsu Datenpanne: Private AWS-Schlüssel und Kundenpasswörter offen im Netz

Der Sicherheitsforscher Jelle Ursem des Dutch Institute for Vulnerability Disclosure berichtete im März 2024 dem Online Magazin The Stack, dass Fujitsu private AWS-Schlüssel, Kundendaten und Klartextpasswörter fast ein Jahr lang unbemerkt öffentlich zugänglich gemacht hat. Der Vorfall ereignete sich, als Fujitsu einen öffentlichen Microsoft Azure Speichercontainer freigab, der Dateien mit persönlichen Informationen und Kundeninformationen enthielt. Der Forscher entdeckte die frei zugänglichen Daten während seiner Untersuchungen. Der Container wahr wohl zwischen März 2022 und 2023 offen im Netz zugänglich. In den Daten sind unter anderem CSV Exporte mit Passwörtern im Klartext aus der LastPass Anwendung enthalten sowie vollständige Mailbox Backups mit Kundendaten.

Read More

Kritische Sicherheitslücke in ClickUp Desktop auf Windows und Mac

Am 23.3.2024 wurde eine kritische Schwachstelle in ClickUp Desktop, einer Projektmanagement- und Produktivitätssoftware, entdeckt. Die Lücke CVE-2024-23755 betrifft macOS- und Windows Installationen vor Version 3.3.77 und hat einen kritischen CVSS Score von 9.8/10.

Read More

Mehrere Sicherheitslücken In OpenVPN für Windows entdeckt

In einem Sicherheitsbulletin vom 22. März 2024 hebt das OpenVPN-Sicherheitsteam vier neu entdeckte Schwachstellen in der OpenVPN-Desktopanwendung für Windows hervor. Diese Sicherheitslücken, die von niedrigem bis mittlerem Risiko reichen, bergen das Potenzial für lokale Benutzer, ihre Systemprivilegien unerlaubt zu erweitern.

Read More