Im Rahmen eines Vortrags (“Efficient Denial of Service Attacks on Web Application Platforms”, 28.12.2011, PDF) auf dem 28. Chaos Communication Congress in Berlin (#28c3) wurde eine Möglichkeit vorgestellt, Webserver mittels einer sogenannten “hash collision attack” zu überlasten, so dass diese praktisch zum Stillstand kommen.
Betroffen ist dabei nicht nur Microsoft-Technologie (ASP.NET), sondern auch Java, Python, Ruby, PHP, v8/node.js, …
Microsoft hat bereits reagiert und veröffentlicht heute ein entsprechendes Sicherheitsupdate für ASP.NET.
Mehr Details unter:
- TechNet Team Blog Austria: Workaround gegen Denial of Service Attacke in ASP.NET #hashDoS #28C3 (de)
- ScottGu’s Blog: ASP.NET Security Update Shipping Thursday, Dec 29th (en)
- Microsoft Security Advisory (2659883): Vulnerability in ASP.NET Could Allow Denial of Service (en)
- Microsoft Security Research & Defense: More information about the December 2011 ASP.NET vulnerability (en)