Windows HTTP Protocol Stack Uzaktan Kod Çalıştırma Zafiyeti

Windows HTTP Protocol Stack Uzaktan Kod Çalıştırma Zafiyeti

14 Mart 2023'te Microsoft, Microsoft Windows Server 2022 ve Windows 11 sistemlerinin [1] HTTP/3 protokol stack’te bir güvenlik açığı (CVE-2023-23392) için bir yama yayınlandı.

Bu güvenlik açığı, uzaktaki bir saldırganın rastgele kod yürütmesine olanak tanımaktadır. Microsoft, bu güvenlik açığının yakın zamanda sömürülebileceğini beklemektedir.

Teknik detaylar

Bu güvenlik açığı, Microsoft’un Windows işletim sistemlerinin http/3 Protokol Stack’inde bulunduğu belirtilmektedir. Saldırıya uğrayan sistem aşağıdaki özelliklere sahipse, saldırgan bu güvenlik açığından yararlanabilir:

• HTTP/3'ün etkin olması,
• Sunucunun tampon I/O kullanıyor olması.

Etkilenen Sistemler

Microsoft Windows Server 2022, Microsoft Windows 11 (21H2,22H2).

IoC’ler

-

Çözüm Önerileri

CERT-EU, öncelikle İnternet'e açık Microsoft Windows Server 2022 sunucular için en son yamaların uygulanmasını şiddetle tavsiye etmektedir. Ek olarak CERT-EU, Microsoft Windows 11 çalıştıran sistemlere en son yamaların uygulanmasını önermektedir.

Tedbirler

Servisler için HTTP/3 desteği, son Windows işletim sistemlerindeki yeni bir özelliktir. Bir sunucunun güvenlik açığından etkilenmesinin ön koşulu, HTTP/3 binding'in etkinleştirilmiş olması ve sunucunun tampon I/O kullanıyor olmasıdır. Bu nedenle, HTTP/3'ü bir kayıt defteri (registry) anahtarı aracılığıyla devre dışı bırakmak, bu güvenlik açığının riskini azaltır.

Bu zafiyet duyurusu ve müteakiben yapılacak güncellemeler ayrıca linki aşağıda belirtilen Barikat Güvenlik Zafiyet Bildirimleri web sitesinde de yayınlanacaktır.

https://guvenlikzafiyet.barikat.com.tr/tr/index.html

CVE / CWE

CVE-2023-23392

Ek Bilgiler

• https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-23392
• https://techcommunity.microsoft.com/t5/networking-blog/enabling-http-3-support-on-windows-server-2022/ba-p/2676880

* CVSS 3.1 skoru (10 üzerinden) 7.0-8.9 olanlar “yüksek”, 9.0-10.0 olanlar “kritik” zafiyet olarak değerlendirilmektedir.