【关于CVE-2024-38077漏洞Windows Server 2008和2012R2系统更新失败 打补丁指南】

背景

根据微软最新披露的远程代码执行超高危漏洞 CVE-2024-38077，CVSS评分高达9.8，可导致开启了远程桌面许可服务（RDL）的Windows Server 操作系统完全沦陷。攻击者无需任何前置条件，无需用户交互（零点击）便可直接获取服务器最高权限，执行任意操作。漏洞影响Windows Server2008到Windows Server 2022多个版本。

问题描述

Windows Server 2012和Windows Server 2018安装安全补丁后重启服务器提示更新失败，最终失败回滚，无法安装安全补丁。

问题截图

产生原因

由于Windows Server 2008* 和Windows Server 2012* 的操作系统已经停止维护了，想要成功应用安装后续微软提供的安全补丁就要购买微软ESU（扩展安全更新服务:Extended Security Updates(ESUs) ）才能完全成功安装后续补丁。

解决方案

1.购买微软ESU服务（应该没有人会选择这个方案，有钱除外）
2.使用BypassESU工具绕过微软扩展安全更新资格

解决步骤

此次教程以BypassESU工具为例，进行以下讲解

1. 安装BypassESU工具

GitHub
Gitee

工具来源于互联网，本人不对工具安全性做任何承诺与鉴别，请自行做好安全检测

右键单击LiveOS-Setup.cmd，然后单击“以管理员身份运行”

从菜单中，按相应的数字以获取所需的选项：
1.完全安装{ESU Suppressor + WU ESU Patcher}
最推荐的选项

2.安装ESU Suppressor
主要用于仅安全性更新用户，不需要通过WU进行每月汇总

3.安装WU ESU Patcher
这仅允许通过WU提供ESU更新

如上图，选择安装[1]，安装完毕后，按任意键退出。

出现如上图所示提示，证明已经安装成功。

2. 安装补丁

方法一：使用Windows更新功能

方法二：手动下载补丁并安装

对于不能自动更新的系统版本，可参考以下步骤下载适用于该系统的补丁并安装（以Windows server 2008 R2为例）

1. 打开微软CVE-2024-38077补丁包位置，找到Windows server 2008的补丁包，选择每月汇总或者仅限安全都可以。
   
2. 下载Windows server 2008的补丁包KB5040497
   
3. 双击安装下载好的Windows补丁包安装即可。

安装过程中报错提示“更新计算机上的Windows模块安装程序”

直接下载目标补丁是不能安装的，得先安装前置补丁

windows server 2008
kb5039341 --> KB5040490

windows server 2008 R2
kb4474419 --> kb5039339 --> KB5040498

windows server 2012
KB5040570 --> KB5040485

windows server 2012 R2
KB5040569 --> KB5040456

windows server 2016
kb5040562 --> KB5040434

windows server 2019
kb5005112 --> KB5040430

Microsoft更新目录输入补丁名称进行下载

安装成功后，根据提示重启计算机，完成配置更新。

补丁验证

方法一：查看更新历史记录

在“控制面板”-“程序”-”程序和功能”-“已安装更新”中检查是否存在KB5040497系统补丁

如上图显示存在，表明漏洞已修复。

方法二：使用漏洞检测工具

GitHub
Gitee

如上图，使用CVE-2024-38077漏洞检测工具，显示Server Patched，表示服务器已经安装补丁，确认漏洞已完成修复。

问题解决

至此，CVE-2024-38077漏洞的安全补丁已成功应用安装，完成修复。