Un investigador de seguridad publicó durante el fin de semana un código de explotación de Prueba de Concepto para una vulnerabilidad de servidor IIS embebido de Windows que se puede hacer wormeable. Esta vulnerabilidad fue corregida en las actualizaciones del martes pasado (mayo 2021).

Identificada como CVE-2021-31166, la vulnerabilidad fue descubierta internamente por el personal de Microsoft y parcheada la semana pasada en el martes de parches de mayo de 2021. Aquí la guía de actualización Microsoft sobre la misma.

Varios investigadores de seguridad y empresas de seguridad que revisaron las actualizaciones de seguridad de la semana pasada consideraron que el error era la vulnerabilidad más peligrosa que Microsoft solucionó en el ciclo de parches de este mes.

El error, que recibió una calificación de gravedad de 9,8 sobre 10 en la escala CVSSv3, es una vulnerabilidad de corrupción de memoria en la pila del protocolo HTTP (http.sys) incluida en las versiones recientes de Windows. Esta pila es utilizada por el servidor IIS integrado de Windows y, si este servidor está habilitado, Microsoft dice que un atacante puede enviar un paquete con formato incorrecto y ejecutar código malicioso directamente en el kernel del sistema operativo.

En su aviso de seguridad, Microsoft dice que el error podría usarse para crear gusanos de red que salten de un servidor a otro y recomendó "priorizar el parcheo de los servidores afectados".

Pero si bien el error suena extremadamente peligroso, también existen algunos factores de mitigación. Paradójicamente, la primera mitigación es que solo se ven afectadas las versiones recientes de Windows. Esto incluye Windows 10 2004 y 20H2, y Windows Server 2004 y 20H2, que básicamente incluye las versiones del sistema operativo Windows 10 y Windows Server lanzadas el año pasado, que es muy poco probable que se hayan implementado ampliamente en entornos de producción. Si no es necesario se recomienda desactivar este servicio. 

El domingo, el ex ingeniero de Microsoft y actual investigador de seguridad Axel Souchet publicó un código de prueba de concepto para explotar CVE-2021-31166. El código no incluye capacidades de reproducción, pero solo bloquea un sistema Windows sin parches que ejecuta un servidor IIS. 

CVE-2021-31166 La falla HTTP de Windows también afecta a los servidores WinRM

La vulnerabilidad de gusano CVE-2021-31166 en la pila de protocolo HTTP del servidor IIS de Windows también afecta a WinRM en los sistemas Windows 10 y Server.

El martes de parches de Microsoft para las actualizaciones de seguridad de mayo de 2021 abordaron 55 vulnerabilidades en Microsoft, incluida una vulnerabilidad crítica de ejecución de código remoto de pila de protocolo HTTP rastreada como CVE-2021-31166. La falla podría ser aprovechada por un atacante no autenticado enviando un paquete especialmente diseñado a un servidor de destino utilizando HTTP Protocol Stack (http.sys) para procesar paquetes.

Esta pila es utilizada por el servidor IIS integrado de Windows, lo que significa que podría explotarse fácilmente si el servidor está habilitado. La falla se puede eliminar y afecta a diferentes versiones de Windows 10, Windows Server 2004 y Windows Server 20H2.

El investigador de seguridad Axel Souchet ha publicado un código de exploit de prueba de concepto para la falla de gusano que afectó a Windows IIS.

• https://github.com/0vercl0k/CVE-2021-31166

El código de explotación de PoC permite bloquear un sistema Windows sin parches que ejecuta un servidor IIS, no implementa capacidades de desparasitación. De todos modos, los atacantes podrían comenzar a activar la vulnerabilidad en la naturaleza, el código PoC podría mejorarse para ser explotado activamente.

WinRM está habilitado de forma predeterminada en terminales empresariales

Pero el investigador de seguridad Jim DeVries informó que el problema también afecta a los dispositivos Windows 10 y Server que ejecutan el servicio de administración remota de Windows (WinRM). un componente del conjunto de funciones de administración de hardware de Windows que también hace uso de HTTP.sys vulnerable.

Windows Remote Management (WinRM) es la implementación de Microsoft del WS-Management Protocol, un protocolo estándar basado en el Protocolo simple de acceso a objetos (SOAP) y compatible con firewall que permite que el hardware y los sistemas operativos, de diferentes proveedores, interoperen.

El servicio WinRM está habilitado de forma predeterminada en los servidores de Windows que ejecutan las versiones 2004 o 20H2, por esta razón solo representa un riesgo grave para los entornos corporativos, explicó DeVries 

Al consultar el motor de búsqueda Shodan, podemos encontrar que más de 2 millones de sistemas Windows que ejecutan el servicio WinRM están expuestos en línea, y los que ejecutan las versiones 2004 y 20H2 son vulnerables al exploit CVE-2021-31166.

• https://www.shodan.io/search?query=port%3A5985+Microsoft-HTTPAPI

Afortunadamente, aunque puede ser objeto de abuso por amenazas en ataques de ejecución remota de código (RCE), la vulnerabilidad SÓLO afecta a las versiones 2004 y 20H2 de Windows 10 y Windows Server.

El error se encuentra en la pila de protocolo HTTP (HTTP.sys) que el servidor web Windows IIS utiliza como escucha de protocolo para procesar solicitudes HTTP.

Sin embargo, como lo descubrió el investigador de seguridad Jim DeVries, también afecta a los dispositivos Windows 10 y Server que ejecutan el servicio WinRM (abreviatura de Windows Remote Management), un componente del conjunto de funciones de administración de hardware de Windows que también hace uso del vulnerable HTTP.sys.

Si bien los usuarios domésticos tienen que habilitar el servicio WinRM manualmente en sus sistemas Windows 10, los puntos finales empresariales de Windows Server tienen WinRM activado de forma predeterminada, lo que los hace vulnerables a los ataques si ejecutan las versiones 2004 o 20H2.

Fuentes:

https://blog.segu-info.com.ar/2021/05/vulnerabilidad-critica-en-iis-de.html

https://securityaffairs.co/wordpress/118189/security/cve-2021-31166-windows-http-flaw.html