Свежевыявленный баг связан с повреждением информации в памяти стека протокола HTTP, включенного в последние версии Windows. Поскольку этот стек используется IIS, может возникнуть ситуация, когда злоумышленник отправляет активному серверу IIS специально подготовленный пакет и выполняет вредоносный код на уровне ядра операционной системы. По утверждению Microsoft, уязвимость обладает потенциалом «червя», т.е. пригодна для создания малвари, которая будет самостоятельно распространяться с сервера на сервер.
Аксель Суше — ранее инженер Microsoft, а ныне исследователь в области информационной безопасности — опубликовал в минувшие выходные пример эксплоита для уязвимости CVE-2021-31166. Возможности эксплоита искусственно ограничены: с его помощью нельзя создать полноценного «червя», вместо этого он приводит к «падению» непропатченных версий Windows с включенным сервером IIS.
Патч для уязвимости CVE-2021-31166 входит в состав KB5003173. Получить его можно в автоматическом режиме через Центр обновления Windows или вручную, скачав из Каталога Центра обновления Microsoft.