CVE-2022-21907

• CVE-2022-21907

---

** Beschreibung - POC für CVE-2022-21907: Sicherheitslücke im HTTP-Protokollstapel bei Remotecodeausführung. - erstellt von antx am 2022-01-17.

** Details - Sicherheitslücke im HTTP-Protokollstapel bei Remotecodeausführung. - Ähnlich wie [[https://github.com/antx-code/CVE-2021-31166][CVE-2021-31166]]. - Dieses Problem besteht seit letztem Jahr, wie in [[https://github.com/antx-code/CVE-2021-31166][CVE-2021-31166]] berichtet, und ist weiterhin vorhanden.

** CVE-Schweregrad - attackComplexity: LOW - attackVector: NETWORK - availabilityImpact: HIGH - confidentialityImpact: HIGH - integrityImpact: HIGH - privilegesRequired: NONE - scope: UNCHANGED - userInteraction: NONE - version: 3.1 - baseScore: 9.8 - baseSeverity: CRITICAL

** Betroffene Systeme - Windows - 10 Version 1809 für 32-Bit-Systeme - 10 Version 1809 für x64-basierte Systeme - 10 Version 1809 für ARM64-basierte Systeme - 10 Version 21H1 für 32-Bit-Systeme - 10 Version 21H1 für x64-basierte Systeme - 10 Version 21H1 für ARM64-basierte Systeme - 10 Version 20H2 für 32-Bit-Systeme - 10 Version 20H2 für x64-basierte Systeme - 10 Version 20H2 für ARM64-basierte Systeme - 10 Version 21H2 für 32-Bit-Systeme - 10 Version 21H2 für x64-basierte Systeme - 10 Version 21H2 für ARM64-basierte Systeme - 11 für x64-basierte Systeme - 11 für ARM64-basierte Systeme - Windows Server - 2019 - 2019 (Core-Installation) - 2022 - 2022 (Server Core-Installation) - Version 20H2 (Server Core-Installation)

** POC - [[./CVE-2022-21907.py][Poc]]

** Gegenmaßnahmen - Windows Server 2019 und Windows 10 Version 1809 sind standardmäßig nicht anfällig. Sofern Sie die HTTP-Trailer-Unterstützung nicht über den Registrierungswert "EnableTrailerSupport" aktiviert haben, sind die Systeme nicht anfällig. - Löschen Sie den DWORD-Registrierungswert "EnableTrailerSupport", falls er unter folgendem Pfad vorhanden ist: #+begin_src bash HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters #+end_src - Diese Gegenmaßnahme gilt nur für Windows Server 2019 und Windows 10 Version 1809 und nicht für Windows 20H2 und neuere Versionen.

** FAQ - Wie könnte ein Angreifer diese Sicherheitslücke ausnutzen? - In den meisten Fällen könnte ein nicht authentifizierter Angreifer ein speziell präpariertes Paket an einen Zielserver senden, der den HTTP-Protokollstapel (http.sys) zur Verarbeitung von Paketen verwendet. - Ist diese Sicherheitslücke für Würmer ausnutzbar? - Ja. Microsoft empfiehlt, das Patchen betroffener Server zu priorisieren. - Windows 10 Version 1909 ist nicht in der Tabelle der Sicherheitsupdates aufgeführt. Ist es von dieser Sicherheitslücke betroffen? - Nein, der anfällige Code ist in Windows 10 Version 1909 nicht vorhanden. Es ist nicht von dieser Sicherheitslücke betroffen. - Ist der Registrierungsschlüssel "EnableTrailerSupport" auf einer anderen Plattform als Windows Server 2019 und Windows 10 Version 1809 vorhanden? - Nein, der Registrierungsschlüssel ist nur in Windows Server 2019 und Windows 10 Version 1809 vorhanden.

** Referenzen - Referenz-Quelle - [[https://github.com/mauricelambert/CVE-2022-21907]] - [[https://github.com/nu11secur1ty/Windows10Exploits/tree/master/2022/CVE-2022-21907]] - Referenz-Risiko - [[https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21907][Sicherheitslücke im HTTP-Protokollstapel bei Remotecodeausführung]] - [[https://nvd.nist.gov/vuln/detail/CVE-2022-21907][NVD]] - CVE - [[https://github.com/CVEProject/cvelist/blob/master/2022/21xxx/CVE-2022-21907.json][CVE-2022-21907]] - [[https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-21907][CVE-2022-21907]] - Verwandte Referenzen - [[https://github.com/antx-code/CVE-2021-31166][CVE-2021-31166]]