CVE-2022-21907-Vulnerability-PoC

• CVE-2022-21907

---

** Description - POC pour CVE-2022-21907 : vulnérabilité d'exécution de code à distance dans la pile de protocoles HTTP. - créé par antx le 2022-01-17, avec quelques petites corrections de Michele "[email protected]"

** Détails - Vulnérabilité d'exécution de code à distance dans la pile de protocoles HTTP. - Similaire à [[https://github.com/antx-code/CVE-2021-31166][CVE-2021-31166]]. - Ce problème existe depuis l'année dernière, comme signalé dans [[https://github.com/antx-code/CVE-2021-31166][CVE-2021-31166]], et il est toujours présent.

** Gravité CVE - attackComplexity: LOW - attackVector: NETWORK - availabilityImpact: HIGH - confidentialityImpact: HIGH - integrityImpact: HIGH - privilegesRequired: NONE - scope: UNCHANGED - userInteraction: NONE - version: 3.1 - baseScore: 9.8 - baseSeverity: CRITICAL

** Systèmes affectés - Windows - 10 Version 1809 pour systèmes 32 bits - 10 Version 1809 pour systèmes x64 - 10 Version 1809 pour systèmes ARM64 - 10 Version 21H1 pour systèmes 32 bits - 10 Version 21H1 pour systèmes x64 - 10 Version 21H1 pour systèmes ARM64 - 10 Version 20H2 pour systèmes 32 bits - 10 Version 20H2 pour systèmes x64 - 10 Version 20H2 pour systèmes ARM64 - 10 Version 21H2 pour systèmes 32 bits - 10 Version 21H2 pour systèmes x64 - 10 Version 21H2 pour systèmes ARM64 - 11 pour systèmes x64 - 11 pour systèmes ARM64 - Windows Server - 2019 - 2019 (installation Core) - 2022 - 2022 (installation Server Core) - version 20H2 (installation Server Core)

** POC - [[./CVE-2022-21907.py][Poc]]

** Atténuations - Windows Server 2019 et Windows 10 version 1809 ne sont pas vulnérables par défaut. Sauf si vous avez activé la prise en charge HTTP Trailer via la valeur de registre EnableTrailerSupport, ces systèmes ne sont pas vulnérables. - Supprimez la valeur de registre DWORD "EnableTrailerSupport" si elle est présente sous : #+begin_src bash HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters #+end_src - Cette atténuation ne s'applique qu'à Windows Server 2019 et Windows 10 version 1809 et ne s'applique pas à Windows 20H2 et versions ultérieures.

** FAQ - Comment un attaquant pourrait-il exploiter cette vulnérabilité ? - Dans la plupart des cas, un attaquant non authentifié pourrait envoyer un paquet spécialement conçu à un serveur cible utilisant la pile de protocoles HTTP (http.sys) pour traiter les paquets. - Cette vulnérabilité est-elle auto-propageable (wormable) ? - Oui. Microsoft recommande de prioriser le déploiement des correctifs sur les serveurs affectés. - Windows 10 version 1909 ne figure pas dans le tableau des mises à jour de sécurité. Est-elle affectée par cette vulnérabilité ? - Non, le code vulnérable n'existe pas dans Windows 10 version 1909. Elle n'est pas affectée par cette vulnérabilité. - La clé de registre EnableTrailerSupport est-elle présente sur une autre plateforme que Windows Server 2019 et Windows 10 version 1809 ? - Non, la clé de registre n'est présente que sur Windows Server 2019 et Windows 10 version 1809

** Références - Source - [[https://github.com/mauricelambert/CVE-2022-21907]] - [[https://github.com/nu11secur1ty/Windows10Exploits/tree/master/2022/CVE-2022-21907]] - Risque - [[https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21907][Vulnérabilité d'exécution de code à distance dans la pile de protocoles HTTP]] - [[https://nvd.nist.gov/vuln/detail/CVE-2022-21907][NVD]] - CVE - [[https://github.com/CVEProject/cvelist/blob/master/2022/21xxx/CVE-2022-21907.json][CVE-2022-21907]] - [[https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-21907][CVE-2022-21907]] - Connexes - [[https://github.com/antx-code/CVE-2021-31166][CVE-2021-31166]]