CRITICAL🚩 CISA KEV⚡ EXPLOIT✓ PATCH🇬🇧 English

CVE-2021-31166

RCE w stosie protokołu HTTP systemu Microsoft Windows (HTTP.sys)

CVSS 9.8v3.1pub. 2021-05-11upd. 2025-10-30

Podatność typu use-after-free (CWE-416) w stosie protokołu HTTP systemu Windows umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na poziomie kernela. Ze względu na brak wymagań uwierzytelnienia i interakcji użytkownika podatność jest wyjątkowo groźna i była aktywnie wykorzystywana.

▸ Pokaż oryginał (EN)

HTTP Protocol Stack Remote Code Execution Vulnerability

🤖 Analiza AI

Jak działa

Błąd klasy use-after-free występuje w komponencie HTTP Protocol Stack (http.sys), obsługującym ruch HTTP na poziomie jądra systemu operacyjnego. Atakujący wysyła specjalnie spreparowane żądanie HTTP do docelowego systemu, powodując odwołanie do już zwolnionego obszaru pamięci. Operacja ta może prowadzić do wykonania kontrolowanego kodu w kontekście kernela bez konieczności posiadania jakichkolwiek uprawnień ani interakcji ze strony użytkownika.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem poprzez zdalne wykonanie dowolnego kodu (RCE) z uprawnieniami jądra systemu operacyjnego, co w praktyce oznacza możliwość przejęcia całego hosta, instalacji złośliwego oprogramowania lub dalszego lateral movement w sieci.

Mitygacja

Należy niezwłocznie zastosować aktualizację zabezpieczeń opublikowaną przez Microsoft w maju 2021 r. (Patch Tuesday, 2021-05-11) zgodnie z wytycznymi dostępnymi w portalu Microsoft Security Response Center pod adresem wskazanym w referencjach. Jeśli natychmiastowe wdrożenie patcha nie jest możliwe, należy rozważyć wyłączenie lub ograniczenie dostępu do usług opartych na http.sys (np. IIS) do czasu zastosowania poprawki.

Kogo dotyczy

Microsoft Windows 10 w wersjach 2004 i 20H2 oraz Microsoft Windows Server w wersjach 2004 i 20H2 z aktywną rolą serwera HTTP (IIS lub inny serwer wykorzystujący http.sys).

Uwagi

Podatność figuruje w katalogu CISA Known Exploited Vulnerabilities, co potwierdza jej aktywne wykorzystywanie w środowiskach produkcyjnych. Publiczny kod exploit został opublikowany w serwisie Packet Storm Security.