CVE-2021-31166
Microsoft HTTP Protocol Stack Remote Code Execution Vulnerability
Beschreibung
CVE-2021-31166 ist eine wurmfähige Remote-Code-Execution-Schwachstelle im Microsoft HTTP Protocol Stack (HTTP.sys), die es nicht authentifizierten Angreifern ermöglicht, durch das Senden speziell gestalteter HTTP-Pakete beliebigen Code auf betroffenen Windows-Systemen auszuführen. Die Bezeichnung "wurmfähig" bedeutet, dass die Schwachstelle ausgenutzt werden könnte, um sich automatisch zwischen verwundbaren Systemen ohne Benutzerinteraktion zu verbreiten. Sie wurde in den CISA Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen, was aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 96,3 % (99,8. Perzentil) stellt diese Schwachstelle ein extrem hohes Ausnutzungsrisiko dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 2004 | < 10.0.19041.982 |
| microsoft | windows 10 20h2 | < 10.0.19042.982 |
| microsoft | windows server 2004 | < 10.0.19041.982 |
| microsoft | windows server 20h2 | < 10.0.19042.982 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/162722/Microsoft-HTTP-Protocol-Stack-Remote-Code-Execution.html(Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-31166(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-31166(US Government Resource)
Schwachstellentyp
CWE-119: Unzureichende Beschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers
Diese Schwachstelle betrifft die Durchführung von Operationen auf einem Speicherpuffer, ohne ordnungsgemäß sicherzustellen, dass Lese- und Schreibaktionen innerhalb der Puffergrenzen bleiben, was potenziell zu Memory Corruption und Codeausführung führen kann. Bei CVE-2021-31166 verarbeitet HTTP.sys bestimmte HTTP-Anfragen unsachgemäß, was eine Use-after-Free-Bedingung verursacht, die aus der Ferne ausgelöst werden kann. Weitere Details unter CWE-119.
Auswirkungsanalyse
Die wurmfähige Natur dieser Schwachstelle macht sie aus geschäftlicher Perspektive außergewöhnlich gefährlich. Eine einzige erfolgreiche Ausnutzung könnte sich kaskadenförmig über ein gesamtes Netzwerk verwundbarer Windows-Server ausbreiten, ohne dass eine Benutzerinteraktion erforderlich ist, ähnlich den verheerenden WannaCry- und NotPetya-Vorfällen. Betroffene Systeme umfassen alle Windows 10- oder Windows-Server-Systeme, die den HTTP.sys-Treiber ausführen, der von IIS und verschiedenen Windows-Diensten verwendet wird. Eine erfolgreiche Ausnutzung führt zu Remote Code Execution auf Kernel-Ebene, was Angreifern vollständige Kontrolle über betroffene Systeme gewährt. Das Potenzial für automatisierte Verbreitung bedeutet, dass die gesamte Windows-Server-Infrastruktur einer Organisation in Minuten kompromittiert werden könnte.
Exploit-Reifegrad
CVE-2021-31166 wurde am 6. April 2022 in den CISA-KEV-Katalog aufgenommen, was aktive Ausnutzung bestätigt. Der EPSS-Score von 96,3 % (99,8. Perzentil) deutet auf extrem hohe Ausnutzungsaktivität hin. Proof-of-Concept-Exploits, die sowohl Denial-of-Service- als auch Remote-Code-Execution-Fähigkeiten demonstrieren, wurden öffentlich veröffentlicht. Obwohl eine großflächige wurmartige Verbreitung nicht beobachtet wurde, besteht die technische Fähigkeit, und die aktive Ausnutzung durch gezielte Bedrohungsakteure wurde bestätigt.
Behebung
- Wenden Sie das Microsoft-Sicherheitsupdate vom Mai 2021 (KB5003173 oder zutreffendes kumulatives Update) sofort an, wie vom CISA-KEV-Katalog gefordert.
- Überprüfen Sie, dass alle Windows-Server-Systeme, die IIS oder andere HTTP.sys-abhängige Dienste ausführen, gepatcht sind, indem Sie die installierte Update-Historie prüfen.
- Implementieren Sie Netzwerksegmentierung, um laterale Bewegung im Falle einer Ausnutzung zu begrenzen, insbesondere durch Isolierung internetexponierter Webserver.
- Setzen Sie Intrusion-Detection-/Prevention-Systeme (IDS/IPS) mit Signaturen für CVE-2021-31166-Ausnutzungsversuche ein.
- Überwachen Sie den Netzwerkverkehr auf ungewöhnliche HTTP-Muster und unerwartete Verbindungen zwischen internen Servern, die auf wurmartige Verbreitungsversuche hindeuten könnten.
Technische Details
Die Schwachstelle befindet sich in HTTP.sys, dem Kernel-Mode-Treiber, der HTTP-Anfragen in Windows verarbeitet. Bei der Verarbeitung bestimmter HTTP-Anfragen mit spezifischen Header-Kombinationen löst HTTP.sys eine Use-after-Free-Bedingung in seiner internen Anfrageverarbeitungslogik aus. Der Treiber gibt ein Speicherobjekt fälschlicherweise frei, auf das anschließend zugegriffen wird, wodurch ein Angreifer den Inhalt des freigegebenen Speichers durch Heap-Manipulationstechniken kontrollieren kann. Da HTTP.sys im Kernel-Mode arbeitet, führt eine erfolgreiche Ausnutzung zu Kernel-Level-Codeausführung, die dem Angreifer die höchsten Systemprivilegien gewährt. Der Angriff kann durch Senden einer einzigen speziell gestalteten HTTP-Anfrage an jeden Dienst erfolgen, der HTTP.sys verwendet, und erfordert keine Authentifizierung.
Häufig gestellte Fragen
Was ist CVE-2021-31166?
CVE-2021-31166 ist eine wurmfähige Remote-Code-Execution-Schwachstelle in Microsofts HTTP Protocol Stack (HTTP.sys). Sie ermöglicht es nicht authentifizierten Angreifern, Code auf Kernel-Ebene durch das Senden gestalteter HTTP-Pakete auszuführen, und kann sich theoretisch automatisch zwischen verwundbaren Systemen verbreiten.
Was bedeutet "wurmfähig" für diese Schwachstelle?
Wurmfähig bedeutet, dass die Schwachstelle ausgenutzt werden könnte, um einen sich selbst verbreitenden Angriff zu erstellen, der sich automatisch von einem verwundbaren System zum nächsten ausbreitet, ohne dass eine Benutzerinteraktion erforderlich ist. Dies ähnelt Schwachstellen, die von EternalBlue (WannaCry/NotPetya) ausgenutzt wurden, obwohl eine großflächige Wurmverbreitung für diese spezifische CVE nicht beobachtet wurde.
Welche Windows-Versionen sind betroffen?
Die Schwachstelle betrifft Windows 10 Version 2004 und höher sowie Windows Server 2004 und höhere Versionen, die den verwundbaren HTTP.sys-Treiber enthalten. Ältere Windows-Versionen, die die betroffenen HTTP.sys-Änderungen nicht enthalten, sind nicht verwundbar.
Ist mein System gefährdet, wenn es kein IIS ausführt?
Möglicherweise ja. Obwohl IIS der häufigste Dienst ist, der HTTP.sys verwendet, können auch andere Windows-Dienste und Anwendungen diesen Kernel-Treiber zur Verarbeitung von HTTP-Verkehr nutzen. Jedes System mit der betroffenen Windows-Version, das HTTP.sys aktiv hat, könnte verwundbar sein, auch ohne installiertes IIS.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.