近日，國(guó)家信息安全漏洞庫(kù)(CNNVD)收到關(guān)于Microsoft HTTP.sys 代碼注入漏洞(CNNVD-202105-588、CVE-2021-31166)情況的報(bào)送。未授權(quán)的攻擊者可以構(gòu)造惡意請(qǐng)求包攻擊目標(biāo)服務(wù)器，從而在目標(biāo)服務(wù)器執(zhí)行任意代碼。Windows Server和Windows 10多個(gè)版本均受此漏洞影響。目前，微軟官方已發(fā)布漏洞補(bǔ)丁修復(fù)了該漏洞，建議用戶及時(shí)確認(rèn)是否受到漏洞影響，盡快采取修補(bǔ)措施。
一、漏洞介紹
Microsoft HTTP.sys是美國(guó)微軟(Microsoft)公司的一個(gè)應(yīng)用協(xié)議。該漏洞存在于Windows 10和Windows Server中的HTTP協(xié)議棧(http.sys)處理程序中。未授權(quán)的攻擊者可以構(gòu)造惡意請(qǐng)求包攻擊目標(biāo)服務(wù)器，從而在目標(biāo)服務(wù)器執(zhí)行任意代碼。
目前，漏洞利用代碼已在網(wǎng)絡(luò)中公布，該漏洞在微軟5月補(bǔ)丁日中完成了修復(fù)，微軟官方將其標(biāo)記為可造成蠕蟲(chóng)攻擊及易被攻擊的漏洞。
二、危害影響
未授權(quán)的攻擊者可以構(gòu)造惡意請(qǐng)求包攻擊目標(biāo)服務(wù)器，從而在目標(biāo)服務(wù)器執(zhí)行任意代碼。Windows Server, version 20H2、Windows Server,version 2004、Windows 10 Version 20H2 for ARM64-basedSystems、Windows 10 Version 20H2 for 32-bit Systems、Windows 10 Version 20H2 for x64-based Systems、Windows 10 Version 2004 for x64-based Systems、Windows 10 Version 2004 for ARM64-based Systems、Windows 10 Version 2004 for 32-bit Systems等多個(gè)版本均受此漏洞影響。
三、修復(fù)建議
目前，微軟官方已發(fā)布漏洞補(bǔ)丁修復(fù)了該漏洞，建議用戶及時(shí)確認(rèn)是否受到漏洞影響，盡快采取修補(bǔ)措施。官方鏈接如下：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-31166
本通報(bào)由CNNVD技術(shù)支撐單位——杭州安恒信息技術(shù)股份有限公司、深信服科技股份有限公司、內(nèi)蒙古中葉信息技術(shù)有限責(zé)任公司、浪潮電子信息產(chǎn)業(yè)股份有限公司、北京鴻騰智能科技有限公司等技術(shù)支撐單位提供支持。
CNNVD將繼續(xù)跟蹤上述漏洞的相關(guān)情況，及時(shí)發(fā)布相關(guān)信息。如有需要，可與CNNVD聯(lián)系。聯(lián)系方式: cnnvd@itsec.gov.cn
原文來(lái)源：CNNVD安全動(dòng)態(tài)
