IIS über HTTP/2 auf Windows Server 2016 bzw. Win 10 DoS

[testperson 1.707]

Hi,

 

grade bei heise.de gefunden: https://www.heise.de/security/meldung/Windows-10-und-Server-2016-IIS-kann-ueber-HTTP-2-zum-Absturz-gebracht-werden-4316068.html

Da bleibt die Frage, auf was setzt man den / die Wert(e) Http2MaxSettingsPerFrame / Http2MaxSettingsPerMinute aus https://support.microsoft.com/en-us/help/4491420/define-thresholds-on-the-number-of-http-2-settings-parameters-exchange und was sagt z.B. der Exchange 2016 dazu?

 

Gruß

Jan

bearbeitet 22. Februar 2019 von testperson

[NorbertFe 2.061]

Interessant. Wirds wohl hoffentlich vom Exchange Team irgendwann eine Aussage geben. Gut, dass bei mir ein Kemp als Reverseproxy mit http/2 davor hängt ;) (in der Hoffnung, dass deren Implementation robuster ist).

[testperson 1.707]

vor 1 Minute schrieb NorbertFe:

Wirds wohl hoffentlich vom Exchange Team irgendwann eine Aussage geben.

Nachdem die so ausgiebig über CVE-2018-8581 berichtet haben, wird das wohl vor den nächsten CUs nix werden. ;)

[NorbertFe 2.061]

Naja im Endeffekt ist es ja auch nur der IIS, der ja keine Komponente des Exchange Teams ist sondern zum OS Team gehört