특수 제작된 패킷을 http.sys를 이용하는 서버로 보내면, BSoD와 함께 서버가 중단되는 보안 이슈가 있습니다. 이 문제는 이번달에 배포된 롤업 패치인 KB5003173을 설치하면 해결됩니다.
이 문제는 IIS를 포함하여, Windows의 HTTP Listener API를 사용하는 모든 애플리케이션 (.NET의 HttpListener 및 Windows에서 실행되는 Kestrel 서버 포함)에 해당되므로, 클라이언트 서버 구분없이 모두 롤업 패키지를 설치하는것이 필요합니다.
아…제가 잘못알았던게 있었나보네요. http.sys 드라이버를 통해 무조건 webrequest-webrespose를 이용하는줄알았는데 이용하지 않을 수도 있나보군요!
http.sys 드라이버는 IIS 6에서 7으로 넘어가는 시점에 IIS의 성능을 비약적으로 끌어올릴 목적으로 커널에 직접 HTTP 서비스 처리 부분을 넣은 결과물입니다. 클라이언트 쪽의 API는 Internet Explorer와 공유하는 WinINET 스택이라 이번에 다루는 보안 취약점과는 다소 거리가 있는 것으로 알고 있습니다.