CVE-2022-21907 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Windows HTTP 协议栈（http.sys）存在 **Double Free（双重释放）** 漏洞。 💥 **后果**：攻击者可触发 **内核崩溃**（蓝屏），导致 **远程代码执行 (RCE)**，CVSS 评分高达 **9.8**（危急）。

🔍 **缺陷点**：**http.sys 驱动** 中的内存管理错误。 📉 **CWE**：数据未提供具体 CWE ID，但核心是 **Double Free** 导致的内存破坏。

🖥️ **受影响组件**：Microsoft Windows HTTP Protocol Stack。 📦 **具体版本**： - Windows 10 Version 1809 (32-bit) - Windows 10 Version 1809 (x64-based) - Windows 10 Version 1809 (ARM64-based) - Windows Server (部分版本)

👑 **权限提升**：攻击者可获得 **SYSTEM 级别** 权限。 📂 **数据风险**：可读取、修改或删除所有数据，完全控制受感染系统。 💀 **可用性**：可导致 **拒绝服务 (DoS)**，系统蓝屏重启。

🚪 **利用门槛**：**极低**。 🌐 **网络访问**：无需认证 (PR:N)。 🖱️ **用户交互**：无需用户操作 (UI:N)。 📡 **攻击向量**：网络远程 (AV:N)。 ⚡ **复杂度**：低 (AC:L)。

💻 **现成 Exp**：**有**。 📂 **资源**：GitHub 上有多个 PoC，包括 Python、PowerShell、Ruby 脚本及 Metasploit 模块。 🔥 **在野利用**：Corelight 提供了检测规则，暗示存在活跃威胁。

🔎 **检测特征** (基于 Corelight)： 1. HTTP 数据包大小 **≥ 1750 字节**。 2. HTTP 请求末尾 **未观察到** `HTTP/1.1` 标识。 🛠️ **工具**：使用 Zeek (原 Bro) 进行流量分析，或运行 PowerShell 检测脚本。

🩹 **官方修复**：**已发布**。 📅 **发布时间**：2022-01-11。 🔗 **链接**：Microsoft MSRC 安全指南及更新指南中提供了补丁。

🛡️ **临时规避**： - 若无补丁，可使用 PowerShell 脚本进行 **检测与防护**。 - 限制对 IIS 服务器 80/443 端口的 **外部访问**。 - 部署 WAF 或 IDS 拦截异常长度的 HTTP 请求。

⚡ **优先级**：**极高 (P0)**。 🔥 **理由**：CVSS 9.8，无需认证，远程直接执行代码，影响核心网络服务 (IIS)。 🚀 **建议**：**立即** 安装官方补丁，或实施网络层缓解措施。