cve-2022-21907-http.sys by 1vere$k

CVE-2022-21907 - http.sys ドライバーにおける Double Free。

概要

認証されていない攻撃者が、"Accept-Encoding" HTTP リクエストヘッダーを含む HTTP リクエストを送信することで、HTTP プロトコルスタック (http.sys) がパケットを処理する際の未知のコーディングリスト内で double free が発生し、カーネルクラッシュを引き起こす可能性があります。

影響を受けるシステム

Windows Server 2019 および Windows 10 バージョン 1809:

• デフォルトでは脆弱ではありません。HTTP Trailer Support を設定している場合を除きます。
• Windows 10 バージョン 2004 (ビルド 19041.450): 脆弱

連絡先

詳細については、Keybase からお気軽にご連絡ください。