POC pour CVE-2022-21907 : Vulnérabilité d'exécution de code à distance dans la pile du protocole HTTP.
 créé par Malwareman le 2022-09-17.

 Vulnérabilité d'exécution de code à distance dans la pile du protocole HTTP.
 Similaire à [[https://github.com/antx-code/CVE-2021-31166][CVE-2021-31166]].
 Ce problème existe depuis l'année dernière, comme signalé dans [[https://github.com/antx-code/CVE-2021-31166][CVE-2021-31166]], et est toujours présent.

 Complexité d'attaque : LOW
 Vecteur d'attaque : NETWORK
 Impact sur la disponibilité : HIGH
 Impact sur la confidentialité : HIGH
 Impact sur l'intégrité : HIGH
 Privilèges requis : NONE
 Périmètre : UNCHANGED
 Interaction utilisateur : NONE
 Version : 3.1
 Score de base : 9.8
 Sévérité de base : CRITICAL

 Windows
     10 Version 1809 pour systèmes 32 bits
     10 Version 1809 pour systèmes x64
     10 Version 1809 pour systèmes ARM64
     10 Version 21H1 pour systèmes 32 bits
     10 Version 21H1 pour systèmes x64
     10 Version 21H1 pour systèmes ARM64
     10 Version 20H2 pour systèmes 32 bits
     10 Version 20H2 pour systèmes x64
     10 Version 20H2 pour systèmes ARM64
     10 Version 21H2 pour systèmes 32 bits
     10 Version 21H2 pour systèmes x64
     10 Version 21H2 pour systèmes ARM64
     11 pour systèmes x64
     11 pour systèmes ARM64
 Windows Server
     2019
     2019 (installation Core)
     2022
     2022 (installation Server Core)
     version 20H2 (installation Server Core)

    [[./CVE-2022-21907.py][Poc]]

 Windows Server 2019 et Windows 10 version 1809 ne sont pas vulnérables par défaut. Sauf si vous avez activé la prise en charge des en-têtes de remorquage HTTP via la valeur de registre EnableTrailerSupport, les systèmes ne sont pas vulnérables.
 Supprimez la valeur de registre DWORD « EnableTrailerSupport » si elle est présente sous :
    #+begin_src bash
    HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters
    #+end_src
 Cette atténuation s'applique uniquement à Windows Server 2019 et Windows 10, version 1809 et ne s'applique pas à Windows 20H2 et versions ultérieures.

 Comment un attaquant pourrait-il exploiter cette vulnérabilité ?
     Dans la plupart des cas, un attaquant non authentifié pourrait envoyer un paquet spécialement conçu à un serveur cible utilisant la pile de protocole HTTP (http.sys) pour traiter les paquets.
Est-ce que cela est wormable ?
     Oui. Microsoft recommande de prioriser le correctif des serveurs affectés.
Windows 10, Version 1909 ne figure pas dans le tableau des mises à jour de sécurité. Est-il affecté par cette vulnérabilité ?
    Non, le code vulnérable n'existe pas dans Windows 10, version 1909. Il n'est pas affecté par cette vulnérabilité.
La clé de registre EnableTrailerSupport est-elle présente sur toute autre plateforme que Windows Server 2019 et Windows 10, version 1809 ?
     Non, la clé de registre n'est présente que dans Windows Server 2019 et Windows 10, version 1809.

 Ref-Risk
     [[https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21907][Vulnérabilité d'exécution de code à distance dans la pile du protocole HTTP]]
     [[https://nvd.nist.gov/vuln/detail/CVE-2022-21907][NVD<CVE-2022-21907>]]