POC für CVE-2022-21907: HTTP-Protokollstapel-RCE-Sicherheitslücke.
 erstellt von Malwareman am 2022-09-17.

 HTTP-Protokollstapel-RCE-Sicherheitslücke.
 Ähnlich zu [[https://github.com/antx-code/CVE-2021-31166][CVE-2021-31166]].
 Dieses Problem existiert seit letztem Jahr, das unter [[https://github.com/antx-code/CVE-2021-31166][CVE-2021-31166]] gemeldet wurde, und besteht immer noch.

 attackComplexity: LOW
 attackVector: NETWORK
 availabilityImpact: HIGH
 confidentialityImpact: HIGH
 integrityImpact: HIGH
 privilegesRequired: NONE
 scope: UNCHANGED
 userInteraction: NONE
 version: 3.1
 baseScore: 9.8
 baseSeverity: CRITICAL

 Windows
     10 Version 1809 for 32-bit Systems
     10 Version 1809 for x64-based Systems
     10 Version 1809 for ARM64-based Systems
     10 Version 21H1 for 32-bit Systems
     10 Version 21H1 for x64-based System
     10 Version 21H1 for ARM64-based Systems
     10 Version 20H2 for 32-bit Systems
     10 Version 20H2 for x64-based Systems
     10 Version 20H2 for ARM64-based Systems
     10 Version 21H2 for 32-bit Systems
     10 Version 21H2 for x64-based Systems
     10 Version 21H2 for ARM64-based Systems
     11 for x64-based Systems
     11 for ARM64-based Systems
 Windows Server
     2019
     2019 (Core installation)
     2022
     2022 (Server Core installation)
     version 20H2 (Server Core Installation)

    [[./CVE-2022-21907.py][Poc]]

 Windows Server 2019 and Windows 10 version 1809 sind standardmäßig nicht anfällig. Sofern Sie den HTTP-Trailer-Support nicht über den Registrierungswert EnableTrailerSupport aktiviert haben, sind die Systeme nicht anfällig.
 Löschen Sie den DWORD-Registrierungswert "EnableTrailerSupport", falls vorhanden, unter:
    #+begin_src bash
    HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters
    #+end_src
 Diese Abschwächung gilt nur für Windows Server 2019 und Windows 10, Version 1809 und nicht für Windows 20H2 und neuere Versionen.

 Wie könnte ein Angreifer diese Sicherheitslücke ausnutzen?
     In den meisten Fällen könnte ein nicht authentifizierter Angreifer ein speziell präpariertes Paket an einen Zielserver senden, der den HTTP-Protokollstapel (http.sys) zur Verarbeitung von Paketen verwendet.
Kann sich diese Sicherheitslücke wie ein Wurm verbreiten?
     Ja. Microsoft empfiehlt, die Patches für betroffene Server zu priorisieren.
Windows 10, Version 1909 ist nicht in der Tabelle der Sicherheitsupdates. Ist es von dieser Sicherheitslücke betroffen?
    Nein, der anfällige Code existiert nicht in Windows 10, Version 1909. Es ist nicht von dieser Sicherheitslücke betroffen.
Ist der Registrierungsschlüssel EnableTrailerSupport auf einer anderen Plattform als Windows Server 2019 und Windows 10, Version 1809 vorhanden?
     Nein, der Registrierungsschlüssel ist nur in Windows Server 2019 und Windows 10, Version 1809 vorhanden.

 Ref-Risk
     [[https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21907][HTTP-Protokollstapel-RCE-Sicherheitslücke]]
     [[https://nvd.nist.gov/vuln/detail/CVE-2022-21907][NVD<CVE-2022-21907>]]