更新時間：2023/10/19 12:22:35
發佈時間：2023/10/19 12:22:35
TLP：
(White)
得對外公開散布，但不得違反著作權法等相關規定
更新說明：
一、漏洞說明[1]
1. Microsoft 近期公告HTTP/2高風險DOS漏洞，攻擊者利用其多工串流的功能，透過快速重設對網頁的請求連線以造成伺服器端資源消耗，達到阻斷服務攻擊的目的。
2. 因支援HTTP/2協定的網頁伺服器(如Apache Tomcat[2])等均受到影響，建議應檢視目前單位使用網頁伺服器是否支援此協定並評估後執行相關修補作業。
二、已揭露攻擊程式碼說明
1.官方公告此漏洞已遭利用於攻擊活動，但目前尚未被公開揭露。
2.CISA 已將上述項漏洞列入已遭利用清單[3]，須優先修補。
▶ 參考資訊
⌵
| 網址 | 說明 |
|---|---|
| https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-44487 | 1.Microsoft |
| https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.14 | 2. Apache Tomcat |
| https://www.cisa.gov/known-exploited-vulnerabilities-catalog | 3. CISA |
| https://nvd.nist.gov/vuln/detail/CVE-2023-44487 | 4. NVD |
▶ 影響平台
⌵
影響平台-系統：
Windows 10 Version 1607 for 32-bit Systems、x64-based Systems
Windows 10 Version 1809 for 32-bit Systems、x64-based Systems、ARM64-based Systems
Windows 10 Version 21H2 for 32-bit Systems、x64-based Systems、ARM64-based Systems
Windows 10 Version 22H2 for 32-bit Systems、x64-based Systems、ARM64-based Systems
Windows 11 Version 21H2 for x64-based Systems、ARM64-based Systems
Windows 11 Version 22H2 for x64-based Systems、ARM64-based Systems
Windows Server 2016 (含Server Core installation)
Windows Server 2019 (含Server Core installation)
Windows Server 2022 (含Server Core installation)
Microsoft Visual Studio 2022 version 17.2
Microsoft Visual Studio 2022 version 17.4
Microsoft Visual Studio 2022 version 17.6
Microsoft Visual Studio 2022 version 17.7
.NET 6.0
.NET 7.0
ASP.NET Core 6.0
ASP.NET Core 7.0
▶ 建議措施
⌵
1.Microsoft 已於10/10發布10月份安全性更新，建議依受影響之版本評估後執行相關作業。
2.若受影響系統未能即時修補，官方亦提供緩解措施，可以評估後關閉或限制HTTP/2連線作為暫時性緩解措施。
▶ 漏洞資訊
⌵
名稱：
CVE-2023-44487
描述：
使用版本：CVSS 3.1
分析分數：7.5
影響等級：3
參考來源：NVD[4]
情資編號：
FISAC-200-202310-0003
系統目錄：
資安漏洞
資安類別：
漏洞公告 /
影響等級：
3
關鍵字：
弱點漏洞