Microsoft nennt Details zur kritischen Windows-HTTP-Schwachstelle

Microsoft warnt vor einer kritischen Schwachstelle, die als wurmfähig eingestuft wurde und die neuesten Desktop- und Server-Windows-Ver­si­o­nen, einschließlich Windows 11 und Windows Server 2022, betrifft. Ein Patch steht zur Verfügung. Es sollte schnellstmöglich aktualisiert werden. Das meldet das Online-Magazin Bleeping Computer. Mit dem Patch-Day Januar hat Microsoft dabei eine HTTP-Sicherheitslücke für Windows behoben, die unter Umständen von Angreifern ausgenutzt werden kann und wurmartige Verbreitungsfähigkeiten besitzt. Der Fehler wird unter der Bezeichnung CVE-2022-21907 geführt. Die Schwachstelle wurde als kritisch eingestuft und betrifft den HTTP-Protokollstapel (HTTP.sys), der als Protokoll-Liste für die Verarbeitung von HTTP-Anfragen durch den Windows Internet Information Services (IIS) Webserver verwendet wird.

Um die Schwachstelle erfolgreich auszunutzen, müssen Bedrohungsakteure manipulierte Pakete an die anvisierten Windows-Server senden, die den anfälligen HTTP Protocol Stack für die Verarbeitung von Paketen verwenden.

Kein Proof-of-Concept

Microsoft empfiehlt daher, diese Schwachstelle vorrangig auf allen betroffenen Servern zu patchen, da sie es nicht authentifizierten Angreifern ermöglichen könnte, in Angriffen mit geringer Komplexität und "in den meisten Situationen" beliebigen Code aus der Ferne auszuführen, ohne dass eine Benutzerinteraktion erforderlich ist. Konkret heißt das, die Sicherheitslücke ist einfach ausnutzbar, auch wenn sie bisher nicht bei aktiven Angriffen entdeckt, also nicht ausgenutzt wurde.

Microsoft hat die Funktion nicht mehr standardmäßig aktiviert

Bei einigen Windows-Versionen wie Windows Server 2019 und Windows 10 Version 1809 ist zudem die HTTP-Trailer-Unterstützung, die den Fehler enthält, standardmäßig nicht aktiviert. Angreifbar sind damit nur Instanzen, die sich für die Aktivierung entschieden haben.

Download Windows 10: Kumulativer Patch für das November 2021-Update