CVE-2015-1635
Microsoft HTTP.sys Remote Code Execution Vulnerability
Beschreibung
CVE-2015-1635 ist eine kritische Remote-Code-Execution-Schwachstelle im Microsoft HTTP-Protokollstack (HTTP.sys) mit einem CVSS-3.1-Score von 9.8 (CRITICAL). Unter CWE-94 klassifiziert, ermöglicht sie nicht authentifizierten Angreifern die Ausführung beliebigen Codes durch eine speziell gestaltete HTTP-Anfrage an Windows-Systeme mit IIS. Betroffen sind Windows 7, 8, 8.1 sowie Windows Server 2008 R2 und 2012/R2. Die Schwachstelle liegt in HTTP.sys, einem Kernel-Mode-Treiber, wodurch die Ausnutzung mit höchsten Systemprivilegien erfolgt. Aufnahme in den CISA-KEV-Katalog am 10. Februar 2022, Behebungsfrist bis 10. August 2022. EPSS-Score: 94,31 % (99,95. Perzentile).
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 7 | - |
| microsoft | windows 8 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows server 2008 | r2 |
| microsoft | windows server 2012 | -; r2 |
Referenzen
- http://packetstormsecurity.com/files/131463/Microsoft-Windows-HTTP.sys-Proof-Of-Concept.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.osvdb.org/120629(Broken Link)
- http://www.securityfocus.com/bid/74013(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1032109(Broken Link, Third Party Advisory, VDB Entry)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2015/ms15-034(Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/36773/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/36776/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2015-1635(US Government Resource)
Schwachstellentyp
CWE-94: Improper Control of Generation of Code
CVE-2015-1635 wird unter CWE-94 — Code Injection — klassifiziert. Diese Schwäche tritt auf, wenn Software Code dynamisch unter Verwendung externer Eingaben konstruiert, ohne diese ausreichend zu bereinigen.
Im Kontext von HTTP.sys verarbeitet der Windows-Kernel-Mode-HTTP-Treiber HTTP-Anfragen einschließlich Range-Header für partiellen Inhaltsabruf. Die Schwachstelle liegt in der Verarbeitung manipulierter Range-Header-Werte, die einen Integer-Overflow im Kernel verursachen und zu einem Buffer Overflow führen. Da HTTP.sys auf Kernel-Ebene operiert und Anfragen vor der Webanwendung verarbeitet, betrifft die Schwachstelle jedes Windows-System mit IIS — unabhängig von der gehosteten Webanwendung.
Auswirkungsanalyse
CVE-2015-1635 erreicht einen CVSS-3.1-Score von 9.8 (CRITICAL) mit verheerendem Potenzial durch Kernel-Mode-Ausnutzung.
Vertraulichkeit (High): Kernel-Level-Codeausführung auf einem Webserver gewährt uneingeschränkten Zugriff auf alle gehosteten Anwendungen, Datenbanken, Benutzer-Credentials, SSL/TLS-Privatschlüssel und den gesamten HTTP-Datenverkehr.
Integrität (High): Mit Kernel-Privilegien kann der Angreifer beliebige Dateien modifizieren, Rootkits installieren, bösartige Inhalte in Web-Antworten injizieren und persistente Backdoors erstellen.
Verfügbarkeit (High): Die Schwachstelle kann trivial für Denial-of-Service genutzt werden — selbst fehlgeschlagene Ausnutzungsversuche verursachen einen Blue Screen of Death (BSOD) und den Serverabsturz.
Keine Authentifizierung erforderlich: Weder Privilegien (PR:N) noch Benutzerinteraktion (UI:N) sind nötig. Jedes System mit IIS und HTTP.sys ist für jeden mit HTTP-Zugang angreifbar.
Der EPSS-Score von 94,31 % (99,95. Perzentile) gehört zu den höchsten überhaupt beobachteten.
Exploit-Reifegrad
Exploit-Status: CVE-2015-1635 weist eine extrem hohe Exploit-Reife auf mit mehreren öffentlichen Proof-of-Concept-Exploits und bestätigter aktiver Ausnutzung.
Öffentliche Exploits: Mehrere Module auf Exploit-DB (36773 und 36776) und Packet Storm Security. Das Metasploit-Framework enthält Module für DoS und RCE.
Triviale DoS-Ausnutzung: Eine einzige HTTP-Anfrage mit manipuliertem Range-Header lässt den Server mit BSOD abstürzen — extrem einfache Denial-of-Service-Angriffe.
KEV-Eintrag: Aufnahme in den CISA-KEV-Katalog am 10. Februar 2022, Behebungsfrist bis 10. August 2022.
Ransomware-Bezug: Kein direkter Ransomware-Bezug laut CISA-KEV, aber Kernel-Level-RCE auf Webservern ist für jeden Bedrohungsakteur hochwertig.
Wurmfähigkeit: Die Schwachstelle ist durch jede HTTP-Anfrage an IIS ohne Authentifizierung auslösbar — inhärent wurmfähig.
EPSS-Kontext: 94,31 % (99,95. Perzentile) bestätigt durchdringende Ausnutzung.
Behebung
-
Microsoft-Sicherheitsbulletin MS15-034 sofort installieren. Wenden Sie den Patch aus dem Microsoft-Sicherheitsbulletin für alle betroffenen Windows-Versionen an.
-
Patch-Anwendung durch Tests verifizieren. Senden Sie nach dem Patchen eine Testanfrage mit manipuliertem Range-Header. Ein gepatchtes System gibt HTTP 400 zurück; ein ungepatchtes kann abstürzen.
-
IIS-Kernel-Mode-Caching-Kontrollen konfigurieren. Deaktivieren Sie Kernel-Mode-Caching in IIS, falls nicht benötigt, um die HTTP.sys-Angriffsfläche zu reduzieren.
-
WAF-Regeln implementieren. Setzen Sie Regeln ein, die HTTP-Anfragen mit anomalen Range-Header-Werten erkennen und blockieren.
-
Auf Ausnutzungsversuche überwachen. Konfigurieren Sie IIS-Logging zur Erfassung vollständiger Request-Header. Alarmieren Sie bei BSOD-Ereignissen auf IIS-Servern.
-
IIS-Server nicht direkt exponieren. Platzieren Sie IIS-Server hinter einem Reverse-Proxy oder Load-Balancer, der HTTP-Header normalisiert, bevor sie an das Backend weitergeleitet werden.
Technische Details
CVE-2015-1635 ist eine Remote-Code-Execution-Schwachstelle in HTTP.sys, dem Windows-Kernel-Mode-HTTP-Protokolltreiber.
Angriffsvektor: Netzwerk (AV:N), niedrige Komplexität (AC:L), keine Privilegien (PR:N), keine Benutzerinteraktion (UI:N). Eine einzige manipulierte HTTP-Anfrage an einen IIS-Endpunkt genügt.
Technischer Ablauf: Die Schwachstelle liegt in der Verarbeitung des HTTP-Range-Headers. Ein speziell gestalteter Range-Header mit Werten, die einen Integer-Overflow verursachen, löst einen Kernel-Buffer-Overflow im HTTP.sys-Treiber aus.
DoS vs. RCE: Die einfachste Ausnutzung ist Denial-of-Service — ein manipulierter Range-Header verursacht einen BSOD. Vollständige Remote Code Execution erfordert ausgefeiltere Heap-Manipulation, ist aber erreichbar und liefert Kernel-Level-Codeausführung (Ring 0).
Kernel-Mode-Auswirkung: Da HTTP.sys HTTP-Anfragen im Kernel-Modus verarbeitet, bevor sie IIS-Worker-Prozesse erreichen, operiert die Schwachstelle auf höchster Privilegienstufe.
Betroffene Systeme: Windows 7, 8, 8.1, Server 2008 R2, Server 2012 und Server 2012 R2 mit IIS und HTTP.sys.
Erkennungstest: Eine Anfrage mit Header Range: bytes=0-18446744073709551615 verursacht auf ungepatchten Servern einen BSOD (nur in Testumgebungen verwenden).
Häufig gestellte Fragen
Was ist CVE-2015-1635?
CVE-2015-1635 ist eine kritische Remote-Code-Execution-Schwachstelle in HTTP.sys, dem Windows-Kernel-Mode-HTTP-Treiber. Eine einzige manipulierte HTTP-Anfrage mit bösartigem Range-Header kann Kernel-Level-Codeausführung erreichen oder den Server mit BSOD abstürzen lassen. CVSS-Score: 9.8.
Wie einfach ist die Ausnutzung von CVE-2015-1635?
Für Denial-of-Service extrem einfach — eine einzige HTTP-Anfrage genügt zum Serverabsturz. Remote Code Execution erfordert ausgefeiltere Ausnutzung, ist aber erreichbar. Öffentliche Proof-of-Concept-Code und Metasploit-Module sind weit verbreitet.
Wie behebe ich CVE-2015-1635?
Installieren Sie Microsoft-Sicherheitsbulletin MS15-034. Verifizieren Sie den Fix durch Testen mit manipuliertem Range-Header. Implementieren Sie WAF-Regeln und stellen Sie sicher, dass IIS-Server hinter Reverse-Proxies stehen.
Wie schwerwiegend ist CVE-2015-1635?
Mit CVSS 9.8 als CRITICAL eingestuft. Der EPSS-Score von 94,31 % (99,95. Perzentile) bestätigt extrem aktive Ausnutzung. Die Kernel-Mode-Ausführung, triviale DoS-Fähigkeit und Wurmfähigkeit machen sie zu einer der gefährlichsten Webserver-Schwachstellen überhaupt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.