針對近期曝光的 Windows 桌面和服務器高危漏洞,微軟在本月的補丁星期二活動日中發布了一個補丁。該漏洞存在於 HTTP 協議棧(HTTP.sys)中,只需向利用 HTTP 協議棧(http.sys)處理數據包的目標服務器發送一個特製的數據包就可以被利用。攻擊者甚至不需要經過認證。
幸運的是,目前還沒有 CVE-2022-21907 的概念驗證代碼被發布,而且也沒有證據表明該漏洞已經被黑客利用。在 Windows Server 2019 和 Windows 10 Version 1809 版本中,包含該漏洞的 HTTP Trailer Support 功能默認不激活。必須配置以下註冊表鍵,以引入漏洞條件。
HKEY_LOCAL_MACHINESystemCurrentControlSetServicesHTTPParameters
“EnableTrailerSupport”=dword:00000001
這一緩解措施不適用於其他受影響的版本。儘管如此,微軟建議IT人員優先對受影響的服務器進行修補。