Trusted Design

解説:

CVE-2021-31166について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2021-31166は、Microsoft WindowsのHTTPプロトコルスタック（HTTP.sys）に存在するリモートコード実行（RCE）の脆弱性です。HTTP.sysは、Windowsシステム上でHTTPリクエストを処理するカーネルモードドライバーです。この脆弱性は、Use-After-Free（解放済みメモリ使用）のメモリ破損の欠陥（CWE-416）に起因します。

1.1 影響

この脆弱性が悪用された場合、認証されていない攻撃者が特別に細工されたHTTPパケットを脆弱なシステムに送信することで、カーネルレベルで任意のコードを実行できる可能性があります。 この脆弱性は「ワーム可能」であり、ユーザーの操作なしにネットワーク全体に自動的に拡散する可能性があります。 また、サービス運用妨害（DoS）攻撃を引き起こし、ブルースクリーン（BSoD）を発生させる可能性もあります。

1.2 深刻度

CVSSv3スコアは9.8（緊急）と評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性の影響を受ける可能性のあるバージョンは以下の通りです。

• Windows 10 Version 2004 (32-bit/x64-based/ARM64-based Systems)
• Windows 10 Version 20H2 (32-bit/x64-based/ARM64-based Systems)
• Windows Server, version 2004 (Server Core インストール)
• Windows Server, version 20H2 (Server Core インストール)
• Windows 10 Version 20H1 (Windows 10 Version 2004とほぼ同義ですが、一部で明示的に記載されています。)

2.2 影響を受ける設定

HTTP.sysを利用するサービスを実行しているシステムが影響を受けます。これには以下のサービスが含まれます。

• Microsoft Internet Information Services (IIS)
• Windows Remote Management (WinRM)
• Web Services on Devices (WSDAPI)
• IISを使用せずにHTTP.sysを利用してインターネットに公開されているその他のWebサーバー

3. 影響を受けた時の兆候

この脆弱性が悪用された場合、特にサービス運用妨害（DoS）攻撃の場合には、システムのブルースクリーン（BSoD）が発生することが兆候として考えられます。 リモートコード実行の場合、予期せぬシステム再起動、異常なネットワークトラフィックパターン、または不正なコード実行など、一般的なシステム侵害の兆候が見られる可能性があります。HTTP.sysを標的とした特別に細工されたHTTPリクエストに対するネットワークトラフィックの監視も、兆候を捉えるための proactive な対策となります。

4. 推奨対策

4.1 本対策

2021年5月のPatch TuesdayでMicrosoftからリリースされたセキュリティアップデートを適用してください。 脆弱なWindowsバージョンに対応する適切なアップデートを直ちに適用することが推奨されます。

4.2 暫定回避策（緩和策）

• パッチ適用が完了するまで、HTTP.sysを利用する不要なHTTPベースのサービスを無効にしてください。
• 悪意のあるHTTPトラフィックをフィルタリングするために、ファイアウォールやWebアプリケーションファイアウォール（WAF）などのネットワークレベルの制御を導入してください。WAFは適切なユーザー定義ルールを適用することで攻撃を検知し防御できます。
• 脆弱なWindowsサーバーを信頼できないネットワークから隔離するために、ネットワークセグメンテーションを実施してください。
• Windowsシステム上で不要なHTTPベースのサービスを見直し、制限してください。
• ビジネス運用で必要ない場合は、HTTPトレーラーサポートを無効にすることを検討してください。
• 受信HTTPトラフィックの監視も推奨されます。

参照したサイト

• SentinelOne: CVE-2021-31166: Windows 10 2004 HTTP Stack RCE Flaw
• NTTデータ先端技術: Windows OS に存在する RCE 脆弱性(CVE-2021-31166) についての検証レポート
• ASCII.jp: ワーム攻撃の可能性がある非常に重大な脆弱性がWindowsに存在
• NEC: HTTP.sysの脆弱性(CVE-2021-31166)への対策について: Webアプリケーションファイアウォール(WAF) InfoCage SiteShell
• Picus Security: Picus Threat Library Updated for Critical HTTP Protocol Stack Vulnerability (CVE-2021-31166)
• SOC Prime: Windows HTTP.sysにおけるワーム可能なRCE脆弱性（CVE-2021-31166）の検出
• SOC Prime: Detect Wormable RCE Vulnerability (CVE-2021-31166) in Windows HTTP.sys
• Alibaba Cloud ドキュメントセンター: 脆弱性の発表 Windows HTTPプロトコルスタックのリモートコード実行の脆弱性 (CVE-2021-31166)
• GitHub: CVE-2021-31166: HTTP Protocol Stack Remote Code Execution Vulnerability
• BornCity: http-sysの脆弱性（CVE-2021-31166）は、WinRMサービスにも脅威を与えます。
• NIST: NVD-CVE-2021-31166
• McAfee Blog: Major HTTP Vulnerability in Windows Could Lead to Wormable Exploit
• まったり技術ブログ: CVE-2021-31166 やる
• 绿盟科技技术博客: 【漏洞通告】HTTP协议栈远程代码执行漏洞（CVE-2021-31166）通告
• 騰訊雲開発者社區: 漏洞描述|CVE-2021-31166 POC
• 安全内参: Windows HTTP協議栈蠕蟲級高危漏洞(CVE-2021-31166) 安全風險通告
• Zero Day Initiative: CVE-2021-31166: A Wormable Code Execution Bug in HTTP.sys
• SMS DataTech: CVE-2021-31166 | セキュリティNOW! サイバーセキュリティ情報ポータルサイト
• 網絡安全通告: 关于“HTTP协议栈远程代码执行漏洞”网络安全预警通报的通知
• Corelight: Detecting CVE-2021-31166 HTTP Vulnerability Using Corelight
• 东南大学网络与信息中心: 关于HTTP协议栈程代码执行漏洞（CVE-2021-31166）POC公開的預警
• 窓の杜: Microsoft、2021年5月のセキュリティ更新を発表 ～Windowsにリモートコード実行の致命的な脆弱性が3件