安全公告编号:CNTA-2015-0010

4月14日，微软月度例行安全公告披露一个HTTP.sys远程代码执行漏洞（CNVD-2015-02422，对应CVE-2015-1635）,主要威胁到IIS服务器的安全。该漏洞存在于 HTTP 协议堆栈 (HTTP.sys) 中，攻击者可以在系统账户的上下文中执行任意代码或提升权限。目前，互联网已经出现了可以使服务器蓝屏的利用代码，不过可导致控制服务器主机的攻击代码还未出现。CNVD评估认为,一旦可用的远程执行利用代码被披露，则有可能造成大规模的针对IIS服务器的攻击。

   一、漏洞情况分析

IIS是微软提供的WEB服务程序，全称InternetInformation Services，可以提供HTTP、HTTPS、FTP等相关服务，同时支持ASP、JSP等WEB端脚本，应用广泛。IIS服务进程依赖HTTP.sys内核驱动程序文件。漏洞产生的原因是HTTP.sys未能正确分析经特殊设计的HTTP请求所致，通过发送特定构造的HTTP请求包（如：在请求包中相关字段包含类似0xFFFFFFFFFFFFFFFF的大整数值参数），导致整数溢出。成功利用后，攻击者有可能在系统账户的上下文中执行任意代码，导致拒绝服务或提取权限。目前相关分析表明，漏洞的溢出只限于整数型参数，直接构造可执行系统指令的攻击代码还有一定的难度。

CNVD对该漏洞的技术评级为“高危”。

   二、漏洞影响范围

受影响操作系统的IIS服务器版本如下所示：

WindowsServer 2012

WindowsServer 2012 R2

用于基于32位系统：

Windows7 SP1

Windows8

用于基于x64位系统：

Windows7 SP1

Windows8

Windows8.1

WindowsServer 2008 R2 SP1

用于基于 Itanium 的系统:

WindowsServer 2008 R2 SP1

   三、漏洞修复建议

通过修改 Windows HTTP 堆栈处理请求的方式，可以修复此漏洞。CNVD建议采用微软发布的修复补丁，请广大用户尽快下载更新：

https://support.microsoft.com/zh-cn/kb/3042553

注：在打完微软提供的补丁后，系统必须重启修复才会生效。

此外，一些系统管理员在部署微软的Server系统时可能不作为Web服务器使用，但有可能在默认安装了IIS，请相关单位用户注意排查。

参考链接：

https://technet.microsoft.com/zh-CN/library/security/ms15-034.aspx

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1635

http://bobao.360.cn/news/detail/1435.html?from=groupmessage&isappinstalled=0

注：CNVD技术组成员单位奇虎360公司、绿盟公司和安天公司提供了研判支持。