微软在ASP.NET发布DoS零日漏洞解决方案

导读 大家好，今天小代来聊聊一篇关于微软在ASP.NET发布DoS零日漏洞解决方案的文章，现在让我们往下看看吧！MSRC工程师Suha Can和Jonathan ...

大家好，今天小代来聊聊一篇关于微软在ASP.NET发布DoS零日漏洞解决方案的文章，现在让我们往下看看吧！Z1N快乐收录网

Z1N快乐收录网

MSRC工程师Suha Can和Jonathan Ness在安全研究与防御博客上写道，匿名攻击者可以利用零日漏洞有效消耗Web服务器上的所有CPU资源，从而导致拒绝服务。 Z1N快乐收录网

该漏洞使用包含数千个表单值的特制HTTP请求来创建哈希表，这在计算上非常昂贵。根据本文，任何接受表单数据的ASP.NET网站，以及任何在启用ASP.NET时运行互联网信息服务(IIS)默认配置的网络服务器都可能受到攻击。 Z1N快乐收录网

福斯特罗姆写道，“我们的团队正在全球范围内夜以继日地工作，开发适当质量的安全更新来解决这个问题。” Z1N快乐收录网

根据安全公告，微软提出了一个解决方案，修改Web和应用程序主机配置文件，以定义ASP.NET接受的请求大小的最大限制。微软表示，降低这一限制也将降低ASP.NET服务器和网络应用的“敏感度”。每当发送超过最大限制的请求时，配置更改将导致服务器返回错误。但是，允许用户上传文件的应用程序可能会受到配置更改的影响。 Z1N快乐收录网

在ASP.NET平台上，大小只有100KB的HTTP请求可以在近2分钟内100%锁定单个CPU内核。攻击者可能会重复发送这些请求，这将导致服务器性能急剧下降，并导致拒绝服务。canness表示，这些请求甚至可能影响多核服务器和服务器集群。 Z1N快乐收录网

nCircle安全运营总监Andrew Storms告诉eWEEK，利用此漏洞的攻击不同于典型的DoS攻击，因为它们不需要僵尸网络或大量协作来关闭Web服务器。他说，虽然大多数DoS攻击都依赖大量的小请求来淹没Web服务器，但在这种情况下，单个请求可能会消耗一个内核90秒。 Z1N快乐收录网

Storms说：“其中一些请求每隔几分钟就会排队，网站实际上将被关闭。” Z1N快乐收录网

安全研究员朱利安w？Lde和Alexander Klink在12月28日德国举行的混沌通信大会上提出了一种攻击Web应用框架的新方法。他们还在gmane.comp.security的全面披露电子邮件中公布了漏洞的详细信息.列表。 Z1N快乐收录网

零日漏洞并非ASP.NET独有，受影响的产品列表包括PHP 4和5、Java、Apache Tomcat和Geronimo、Jetty、Oracle Glassfish、Python、Plone、CRuby 1.8、JRuby和Rubinius v8。完全公开名单上的职位。而canness写道，虽然没有狂野的主动攻击，但微软预计“很快”就会发布利用代码。 Z1N快乐收录网

Storms预测，其他供应商将发布类似的零日公告，并为其他平台提出缓解建议。阿帕奇软件基金会安全团队的Mark Thomas告诉eWEEK，阿帕奇已经为7.0.x和6.0.x更新了Tomcat，并计划将其作为5.5.x发布，其他供应商没有回复查询。 Z1N快乐收录网

斯托姆说，“每年节假日前后，我们都会进行安全演练，今年也不例外。” Z1N快乐收录网

Storms预测微软可能会在本周的某个时候发布一个紧急补丁。Storms表示，测试和部署紧急补丁可能会给大多数企业IT团队带来挑战，因为他们可能是“运行基础架构的人员”。 Z1N快乐收录网

微软建议ASP.NET网站所有者查看此公告，以“评估拒绝服务的风险”，并实施变通办法和攻击检测机制来保护网站，直到安全更新可用。据福斯特罗姆称，该公司还通过微软主动保护计划与合作伙伴合作，帮助在其他软件产品中建立保护。 Z1N快乐收录网

　　《微软在ASP.NET发布DoS零日漏洞解决方案》更新于时间：2022-09-09 14:00:16；由本站小编进行发布，目前浏览的小伙伴达到，感谢你们的支持，后期快乐收录网小编会继续为大家更新更多相关的文章，希望广大网友多多关注快乐收录网工作心得栏目，如果觉得本站不错，那就给我们一个分享的支持吧！

微软在ASP.NET发布DoS零日漏洞解决方案特别声明

本站快乐收录网提供的微软在ASP.NET发布DoS零日漏洞解决方案都来源于网络，不保证文章的准确性和真实性，同时，对于该文章所造成的影响，不由快乐收录网实际控制，在2022-09-09 14:00:16收录时，该网页上的内容，都属于合规合法，如有侵权违规，可以直接联系网站管理员进行整改或删除，快乐收录网不承担任何责任。

快乐收录网：致力于优质、实用的网络站点资源收集与分享！本文地址：https://nav.klxjz.cn/zixundaquan/smkj/202209/91191.html转载请注明

标签：