【安全风险通告】奇安信CERT已复现,Microsoft Windows HTTP协议栈远程代码执行漏洞安全风险通告

admin 2022年1月13日22:56:36安全漏洞评论103 views2661字阅读8分52秒阅读模式
【安全风险通告】奇安信CERT已复现,Microsoft Windows HTTP协议栈远程代码执行漏洞安全风险通告

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告有效解决方案。




风险通告



近日,奇安信CERT监测到微软官方公开并修复了Microsoft Windows HTTP 协议栈远程代码执行漏洞(CVE-2022-21907),未经身份认证的远程攻击者可通过向目标 Web 服务器发送特制的HTTP请求来利用此漏洞,从而在目标系统上执行任意代码。利用此漏洞不需要身份认证和用户交互,微软官方将其标记为蠕虫漏洞,并建议优先修补受此漏洞影响的服务器。奇安信CERT已复现此漏洞的拒绝服务场景,可导致目标主机崩溃。


目前官方已发布修复补丁,鉴于此漏洞危害极大,奇安信CERT强烈建议客户尽快自查服务器的安全状况并更新补丁。



当前漏洞状态



细节是否公开

PoC状态

EXP状态

在野利用

未知

未知

未知



漏洞描述

Microsoft Windows HTTP 协议栈(HTTP.sys)是一个位于Windows操作系统中核心组件,常见于应用之间或设备之间通信,以及Internet Information Services (IIS)中。


近日,奇安信CERT监测到微软官方公开并修复了Microsoft Windows HTTP 协议栈远程代码执行漏洞(CVE-2022-21907),未经身份认证的远程攻击者可通过向目标 Web 服务器发送特制的HTTP请求来利用此漏洞,从而在目标系统上执行任意代码。利用此漏洞不需要身份认证和用户交互,微软官方将其标记为蠕虫漏洞,并建议优先修补受此漏洞影响的服务器。奇安信CERT已复现此漏洞的拒绝服务场景,可导致目标主机崩溃。


目前官方已发布修复补丁,由于此漏洞危害极大,奇安信CERT强烈建议客户尽快修复漏洞并自查服务器的安全状况。

 

1CVE-2022-21907 Microsoft Windows HTTP 协议栈远程代码执行漏洞

漏洞名称

Microsoft Windows HTTP 协议栈远程代码执行漏洞

漏洞类型

远程代码执行

风险等级

紧急

漏洞ID

CVE-2022-21907

公开状态

未公开

在野利用

未发现

漏洞描述

Microsoft Windows HTTP 协议栈(HTTP.sys)存在远程代码执行漏洞,未经身份认证的远程攻击者可通过向目标 Web 服务器发送特制的HTTP请求来利用此漏洞,从而在目标系统上执行任意代码。利用此漏洞不需要身份认证和用户交互,微软官方将其标记为蠕虫漏洞,微软建议优先修补受此漏洞影响的服务器。此漏洞影响启用了HTTP Trailer Support的系统,默认情况下,Windows Server 2019 和 Windows 10 版本 1809不易受到攻击。

参考链接

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21907

 

奇安信CERT已复现Microsoft Windows HTTP 协议栈远程代码执行漏洞CVE-2022-21907),复现截图如下:

【安全风险通告】奇安信CERT已复现,Microsoft Windows HTTP协议栈远程代码执行漏洞安全风险通告



风险等级

奇安信 CERT风险评级为:极危
风险等级:蓝色(一般事件)


处置建议

使用奇安信天擎的客户可以通过奇安信天擎控制台一键更新修补相关漏洞,也可以通过奇安信天擎客户端一键更新修补相关漏洞。

 

也可以采用以下官方解决方案及缓解方案来防护此漏洞:

Windows自动更新

Windows系统默认启用Microsoft Update,当检测到可用更新时,将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新:

1、点击“开始菜单”或按Windows快捷键,点击进入“设置”

2、选择“更新和安全”,进入“Windows更新”(Windows8、Windows 8.1、WindowsServer 2012以及Windows Server2012 R2可通过控制面板进入“Windows更新”,步骤为“控制面板”->“系统和安全”->“Windows更新”)

3、选择“检查更新”,等待系统将自动检查并下载可用更新

4、重启计算机,安装更新

系统重新启动后,可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新,可以点击该更新名称进入微软官方更新描述链接,点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”,然后在新链接中选择适用于目标系统的补丁进行下载并安装。

 

手动安装补丁

可参考以下链接安装相应版本的补丁程序来修复此漏洞:

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-21907


产品解决方案

奇安信天擎终端安全管理系统解决方案

奇安信天擎终端安全管理系统并且有漏洞修复相关模块的用户,可以将补丁库版本更新到:2022.01.12.1及以上版本,对内网终端进行补丁更新。

推荐采用自动化运维方案,如果控制中心可以连接互联网的用户场景,建议设置为自动从奇安信云端更新补丁库至2022.01.12.1版本。

控制中心补丁库更新方式:每天04:00-06:00自动升级,升级源为从互联网升级。

纯隔离网内控制中心不能访问互联网,不能下载补丁库和补丁文件,需使用离线升级工具定期导入补丁库和文件到控制中心。


奇安信天眼检测方案

奇安信天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击,请将规则版本升级到3.0.0112.13199或以上版本。规则ID及规则名称:

0x10020E46,Windows HTTP 协议栈远程执行代码漏洞。奇安信天眼流量探针规则升级方法:系统配置->设备升级->规则升级,选择“网络升级”或“本地升级”。


奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器(NDS5000/7000/9000系列)产品,已具备该漏洞的检测能力。规则ID为:7187,建议用户尽快升级检测规则库至2201131433以后版本并启用该检测规则。


参考资料

[1] https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21907


时间线

2022年1月13日,安信 CERT发布安全风险通告


点击阅读原文

到奇安信NOX-安全监测平台查询更多漏洞详情





【安全风险通告】奇安信CERT已复现,Microsoft Windows HTTP协议栈远程代码执行漏洞安全风险通告

奇安信CERT长期招募安全研究员

↓ ↓ ↓ 向下滑动图片了解更多↓ ↓ ↓

原文始发于微信公众号(奇安信 CERT):【安全风险通告】奇安信CERT已复现,Microsoft Windows HTTP协议栈远程代码执行漏洞安全风险通告

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年1月13日22:56:36
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  【安全风险通告】奇安信CERT已复现,Microsoft Windows HTTP协议栈远程代码执行漏洞安全风险通告 http://cn-sec.com/archives/736483.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: