** 설명
- CVE-2022-21907의 POC: HTTP 프로토콜 스택 원격 코드 실행 취약점.
- 2022-01-17에 antx가 작성.
** CVE 심각도
- attackComplexity: LOW
- attackVector: NETWORK
- availabilityImpact: HIGH
- confidentialityImpact: HIGH
- integrityImpact: HIGH
- privilegesRequired: NONE
- scope: UNCHANGED
- userInteraction: NONE
- version: 3.1
- baseScore: 9.8
- baseSeverity: CRITICAL
** 영향 받는 시스템
- Windows
- 32비트 시스템용 10 버전 1809
- x64 기반 시스템용 10 버전 1809
- ARM64 기반 시스템용 10 버전 1809
- 32비트 시스템용 10 버전 21H1
- x64 기반 시스템용 10 버전 21H1
- ARM64 기반 시스템용 10 버전 21H1
- 32비트 시스템용 10 버전 20H2
- x64 기반 시스템용 10 버전 20H2
- ARM64 기반 시스템용 10 버전 20H2
- 32비트 시스템용 10 버전 21H2
- x64 기반 시스템용 10 버전 21H2
- ARM64 기반 시스템용 10 버전 21H2
- x64 기반 시스템용 11
- ARM64 기반 시스템용 11
- Windows Server
- 2019
- 2019 (코어 설치)
- 2022
- 2022 (서버 코어 설치)
- 버전 20H2 (서버 코어 설치)
** POC
- [[./CVE-2022-21907.py][Poc]]
** 완화 조치
- Windows Server 2019 및 Windows 10 버전 1809는 기본적으로 취약하지 않습니다. EnableTrailerSupport 레지스트리 값을 통해 HTTP 트레일러 지원을 활성화한 경우가 아니라면 해당 시스템은 취약하지 않습니다.
- 다음 위치에서 "EnableTrailerSupport" DWORD 레지스트리 값이 있는 경우 삭제하십시오:
#+begin_src bash
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters
#+end_src
- 이 완화 조치는 Windows Server 2019 및 Windows 10 버전 1809에만 적용되며 Windows 20H2 이상 버전에는 적용되지 않습니다.
** FAQ
- 공격자는 이 취약점을 어떻게 악용할 수 있습니까?
- 대부분의 상황에서 인증되지 않은 공격자는 HTTP 프로토콜 스택(http.sys)을 사용하여 패킷을 처리하는 대상 서버에 특수하게 조작된 패킷을 보낼 수 있습니다.
- 웜처럼 확산 가능합니까?
- 예. Microsoft는 영향을 받는 서버에 패치를 우선 적용할 것을 권장합니다.
- Windows 10 버전 1909는 보안 업데이트 표에 없습니다. 이 취약점의 영향을 받습니까?
- 아니요, 취약한 코드는 Windows 10 버전 1909에 존재하지 않습니다. 이 취약점의 영향을 받지 않습니다.
- EnableTrailerSupport 레지스트리 키가 Windows Server 2019 및 Windows 10 버전 1809 외의 다른 플랫폼에도 존재합니까?
- 아니요, 해당 레지스트리 키는 Windows Server 2019 및 Windows 10 버전 1809에만 존재합니다.
** 참고
- 참고-소스
- [[https://github.com/mauricelambert/CVE-2022-21907]]
- [[https://github.com/nu11secur1ty/Windows10Exploits/tree/master/2022/CVE-2022-21907]]
- 참고-위험
- [[https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21907][HTTP 프로토콜 스택 원격 코드 실행 취약점]]
- [[https://nvd.nist.gov/vuln/detail/CVE-2022-21907][NVD]]
- CVE
- [[https://github.com/CVEProject/cvelist/blob/master/2022/21xxx/CVE-2022-21907.json][CVE-2022-21907]]
- [[https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-21907][CVE-2022-21907]]
- 참고-관련
- [[https://github.com/antx-code/CVE-2021-31166][CVE-2021-31166]]
zz-socmap/cve-2022-21907
