CVE-2022-21907-Vulnerability-PoC

• CVE-2022-21907

---

** Beschreibung - PoC für CVE-2022-21907: Schwachstelle zur Remotecodeausführung im HTTP-Protokollstapel. - erstellt von antx am 17.01.2022, nur einige kleine Korrekturen von Michele "[email protected]"

** Detail - Schwachstelle zur Remotecodeausführung im HTTP-Protokollstapel. - Ähnlich wie [[https://github.com/antx-code/CVE-2021-31166][CVE-2021-31166]]. - Dieses Problem besteht seit letztem Jahr, das in [[https://github.com/antx-code/CVE-2021-31166][CVE-2021-31166]] gemeldet wurde, und ist immer noch vorhanden.

** CVE-Schweregrad - attackComplexity: LOW - attackVector: NETWORK - availabilityImpact: HIGH - confidentialityImpact: HIGH - integrityImpact: HIGH - privilegesRequired: NONE - scope: UNCHANGED - userInteraction: NONE - version: 3.1 - baseScore: 9.8 - baseSeverity: CRITICAL

** Betroffen - Windows - 10 Version 1809 für 32-bit-Systeme - 10 Version 1809 für x64-basierte Systeme - 10 Version 1809 für ARM64-basierte Systeme - 10 Version 21H1 für 32-bit-Systeme - 10 Version 21H1 für x64-basierte Systeme - 10 Version 21H1 für ARM64-basierte Systeme - 10 Version 20H2 für 32-bit-Systeme - 10 Version 20H2 für x64-basierte Systeme - 10 Version 20H2 für ARM64-basierte Systeme - 10 Version 21H2 für 32-bit-Systeme - 10 Version 21H2 für x64-basierte Systeme - 10 Version 21H2 für ARM64-basierte Systeme - 11 für x64-basierte Systeme - 11 für ARM64-basierte Systeme - Windows Server - 2019 - 2019 (Core-Installation) - 2022 - 2022 (Server Core-Installation) - Version 20H2 (Server Core-Installation)

** PoC - [[./CVE-2022-21907.py][PoC]]

** Gegenmaßnahmen - Windows Server 2019 und Windows 10 Version 1809 sind standardmäßig nicht anfällig. Sofern Sie den HTTP-Trailer-Support nicht über den Registrierungswert EnableTrailerSupport aktiviert haben, sind die Systeme nicht anfällig. - Löschen Sie den DWORD-Registrierungswert "EnableTrailerSupport", falls vorhanden, unter: #+begin_src bash HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters #+end_src - Diese Gegenmaßnahme gilt nur für Windows Server 2019 und Windows 10, Version 1809 und nicht für Windows 20H2 und neuer.

** FAQ - Wie könnte ein Angreifer diese Schwachstelle ausnutzen? - In den meisten Situationen könnte ein nicht authentifizierter Angreifer ein speziell präpariertes Paket an einen Zielserver senden, der den HTTP-Protokollstapel (http.sys) zur Verarbeitung von Paketen verwendet. - Ist diese Schwachstelle selbstverbreitend? - Ja. Microsoft empfiehlt, das Patchen der betroffenen Server zu priorisieren. - Windows 10, Version 1909 ist nicht in der Tabelle der Sicherheitsupdates aufgeführt. Ist es von dieser Schwachstelle betroffen? - Nein, der anfällige Code existiert in Windows 10, Version 1909 nicht. Es ist nicht von dieser Schwachstelle betroffen. - Ist der Registrierungsschlüssel EnableTrailerSupport auf einer anderen Plattform als Windows Server 2019 und Windows 10, Version 1809 vorhanden? - Nein, der Registrierungsschlüssel ist nur in Windows Server 2019 und Windows 10, Version 1809 vorhanden.

** Referenzen - Ref-Quelle - [[https://github.com/mauricelambert/CVE-2022-21907]] - [[https://github.com/nu11secur1ty/Windows10Exploits/tree/master/2022/CVE-2022-21907]] - Ref-Risiko - [[https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21907][Schwachstelle zur Remotecodeausführung im HTTP-Protokollstapel]] - [[https://nvd.nist.gov/vuln/detail/CVE-2022-21907][NVD]] - CVE - [[https://github.com/CVEProject/cvelist/blob/master/2022/21xxx/CVE-2022-21907.json][CVE-2022-21907]] - [[https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-21907][CVE-2022-21907]] - Ref-Verwandt - [[https://github.com/antx-code/CVE-2021-31166][CVE-2021-31166]]