Windows远程桌面授权服务远程代码执行漏洞CVE-2024-38077

于 2024-08-24 16:06:55 发布
阅读量560 收藏 20
点赞数 25
文章标签： windows
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42070510/article/details/141500149
版权

   一、 简述    

根据2024年8月9日，国家信息安全漏洞共享平台（CNVD）收录了Windows远程桌面许可服务远程代码执行漏洞（CNVD-2024-34918，对应CVE-2024-38077）。未经身份认证的攻击者可利用漏洞远程执行代码，获取服务器控制权限。目前，该漏洞的部分技术原理和概念验证伪代码已公开，厂商已发布安全更新完成修复。CNVD建议受影响的单位和用户安全即刻升级到最新版本。

        Windows Server，作为微软精心打造的操作系统系列，专为服务器环境量身定制，旨在高效管理网络架构、数据存储以及应用程序的运行。它为企业级用户和组织机构提供了坚实可靠的服务器平台，能够支撑从小型到大型的各种网络基础设施。然而，近期网络安全领域曝出了一则震撼性消息——Windows远程桌面授权服务中存在一个严重的远程代码执行漏洞（CVE-2024-38077），这一漏洞潜藏于远程桌面许可管理服务（RDL）之中，使得攻击者无需任何认证权限即可远程执行恶意代码，进而夺取服务器的最高控制权。该漏洞的根源在于处理用户输入的许可密钥包时，系统未能妥善验证解码数据长度与预设缓冲区大小之间的匹配性，从而触发了缓冲区溢出问题。

        鉴于该漏洞的严重性，强烈建议所有可能受影响的用户立即开展资产自查，并采取相应的预防措施，以抵御潜在的黑客攻击。不过，值得注意的是，该漏洞的利用并非毫无门槛，它依赖于两个关键条件：首先，目标系统需开放135端口，尽管在“永恒之蓝”事件后，许多组织已加强了对此端口的防护，但仍是潜在的风险点；其次，系统必须启用RDL，即远程桌面服务需配置并激活授权功能，而这一点并非所有服务器默认设置，因此实际受影响的范围可能相对有限。

        接下来，我们将简要介绍如何在Windows Server操作系统中配置远程桌面服务及其授权激活。这一功能对于系统管理员、远程办公人员以及需要远程技术支持的场景至关重要，它允许用户跨越地理界限，通过网络直接访问和控制服务器。通过正确的配置和授权激活，用户可以安全、便捷地实现远程工作和管理任务。

只开启远程桌面是不行的

二、复现安装配置

1、远程服务安装和配置

服务器管理器--》角色--》添加角色：选择”远程桌面服务“，下一步

选择角色服务：”远程桌面会话主机“和”远程桌面授权“，下一步

选择”不需要使用网络级别身份认证“，下一步

server 2008需要以下配置，server 2012至2022直接安装就行，勾选需要重启

选择”以后配置“，下一步

默认情况只有Adminisstratrors组可以连接到RD会话主机服务器（如果有特别需要请添加需要的用用户或组），下一步

在右侧窗口中双击”限制每个用户只能进行一个会话“，在”属性“中取消勾选”限制每个用户只能进行一个会话“，确定

在完成以上配置后Windows服务器已经可以实现多个用户同时远程登录或同一用户多个远程登录，但是依然面临一个问题：120天后远程桌面授权过期。

远程桌面服务安装好之后使用的是120天临时授权，所以会跳出以下提示，接着我们在第二部介绍远程桌面授权的激活。

2.远程桌面授权激活

管理工具--》远程桌面服务--》RD授权管理器；由于我们的RD授权服务器还未激活，所以授权服务器图标右下角显示红色x号；

右击授权服务器--》激活服务器，下一步

        

输入注册信息（必填选项），下一步

可选信息无需输入，直接下一步

默认已经勾选”立即启动许可证安装向导“，直接下一步

许可证计划选择”企业协议“，下一步

输入协议号码：6565792，下一步  （如果自己没有许可证，那么就输入6565792,4954438,6879321或者5296992）

产品版本：”windows server 2008或windows server 2008 r2“，许可证类型：”TS或RDS每用户CAL“，数量：输入你想允许的最大远程连接数量，下一步

点击完成，RD授权服务器已经激活，图标也由红x变为绿v。

最后配置远程桌面会话主机授权服务器

在服务器管理中，点击工具--远程桌面服务--RD授权诊断程序，查看当前服务器授权状态。

运行‘gpedit.msc’，打开计算机本地组策略，选择计算机配置--管理模板--widows组件--远程桌面服务--远程桌面会话主机--授权，找到‘使用指定的远程桌面许可服务器’和‘设置远程桌面授权模式’

设置‘使用指定的远程桌面许可服务器’为启用，并在‘要使用的许可服务器’中，设置当前服务器的ip或者主机名

启用‘设置远程桌面授权模式’，设置授权模式为‘按用户’

在远程桌面会话主机下，找到‘连接’，设置‘限制连接的数量’和取消‘将远程桌面服务用户限制到单独的远程桌面’


三、漏洞情况分析

该漏洞存于Windows远程桌面许可管理服务(Remote Desktop License Service，RDL)中，RDL是Windows Server操作系统的一个服务，用于管理和颁发远程桌面连接（RDS）许可。攻击者无需任何前置条件，无需用户交互(零点击)便可直接获取服务器最高权限，执行任意操作。

RDL不是Windows Server操作系统的默认启用服务。默认情况下，Windows服务器远程桌面服务仅支持两个并发会话，在启用RDP多并发会话支持时，需要手动安装RDL服务。

2024年8月9日上午9时，研究人员在境外网站公开了RDL服务远程代码执行漏洞的部分技术原理和概念验证（POC）伪代码，该伪代码目前尚无法直接运行，研究者将其命名为狂躁许可（MadLicense）。RDL服务在解码用户输入的许可密钥包时，未正确验证解码后的数据长度与缓冲区大小之间的关系，从而导致堆缓冲区溢出。未经身份认证的攻击者利用该漏洞，通过远程向目标Windows Server服务器发送恶意构造的数据包，从而执行任意代码，实现对服务器的权限获取和完全控制。CNVD对该漏洞的综合评级为“高危”。

四、漏洞影响范围

漏洞名称Windows Server 远程桌面许可服务远程代码执行漏洞
漏洞类型远程代码执行
漏洞CVE编号CVE-2024-38077
漏洞影响服务Windows Remote Desktop Licensing (RDL)服务
影响版本范围Windows Server 2000~2025 全版本未安装修复补丁均受影响



五、漏洞处置建议

“

特别提醒：修复漏洞前请进行充分测试，并务必做好数据备份和快照

六、排查方式

1. 检查系统补丁与build版本

  • 使用Win+R组合键调出运行窗口，输入cmd按回车按键打开控制台窗口。

  • 输入systeminfo命令，检查系统安装补丁信息。

图片

  • 输入winver，检查系统build版本信息

图片

判断方式：

1. 根据操作系统版本找到对应补丁编号与Build版本号2. 若已安装对应补丁，则不受漏洞影响（若有两个补丁则任选一安装即可）3. 若当前系统Build版本号大于或等于表格中的Build版本号，则不受漏洞影响
操作系统版本补丁编号Build版本号
Windows Server  2022 23H2 Edition (Server Core installation)KB504043810.0.25398.1009
Windows Server 2022 (Server Core  installation)KB504043710.0.20348.2582
Windows Server 2022KB504043710.0.20348.2582
Windows Server 2019 (Server Core  installation)KB504043010.0.17763.6054
Windows Server 2019KB504043010.0.17763.6054
Windows Server 2016 (Server Core  installation)KB504043410.0.14393.7159
Windows Server 2016KB504043410.0.14393.7159
Windows Server 2012 R2 (Server Core  installation)KB50404566.3.9600.22074
Windows Server 2012 R2KB50404566.3.9600.22074
Windows Server 2012 (Server Core  installation)KB50404856.2.9200.24975
Windows Server 2012KB50404856.2.9200.24975
Windows Server 2008 R2 for x64-based  Systems Service Pack 1 (Server Core installation)KB5040497或KB50404986.1.7601.27219
Windows Server 2008 R2 for x64-based  Systems Service Pack 1KB5040497或KB50404986.1.7601.27219
Windows Server 2008 for x64-based  Systems Service Pack 2 (Server Core installation)KB5040490或KB50404996.0.6003.22769
Windows Server 2008 for x64-based  Systems Service Pack 2KB5040490或KB50404996.0.6003.22769
Windows Server 2008 for 32-bit Systems  Service Pack 2 (Server Core installation)KB5040490或KB50404996.0.6003.22769
Windows Server 2008 for 32-bit Systems  Service Pack 2KB5040490或KB50404996.0.6003.22769

2. 检查RDL服务安装状态

  • Win键+R运行powershell，执行命令Get-WindowsFeature -Name RDS-Licensing

检查Install State结果：

- 未安装显示为Avaliable，不受漏洞影响

- 已安装显示为Installed，此情况下需要安装升级补丁，或关闭RDL服务，否则受漏洞影响

图片

3. 检查RDL服务运行状态

  • Win键+R运行services.msc

  • 检查remote desktop license服务是否运行：

    • 1）未启用时状态显示为空 ，自动类型显示为手动，双击进入详情界面显示未已停止，此情况不受漏洞影响

    • 2）已启用时状态显示为正在运行，自动类型显示为自动，此情况下需要安装升级补丁，或关闭RDL服务，否则受漏洞影响

图片

 

七、整改修复

1. 安装更新补丁

微软官方已发布针对该漏洞的修复方案，受影响用户请通过官方链接下载并更新补丁。

针对所有受影响的资产，根据具体的Windows Server系统版本，下载对应的补丁升级包，补丁下载地址：https://catalog.update.microsoft.com/Search.aspx?q=KB5040456（此处修改为对应的补丁号）。

“

请务必尽快安排合适的时间对其进行升级。

2. 关闭RDL服务

对于暂无法安装更新补丁的情况，微软公司建议在确认RDL服务非必要的前提下，采取关闭RDL服务等临时防范措施。

使用Win+R组合键调出运行窗口，输入powershell按回车按键打开控制台窗口，执行以下命令

Stop-Service -Name "TermServLicensing" -Force

^乘风破浪^
关注
  • 25
    点赞
  • 踩
  • 20
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Windows 远程桌面授权服务远程代码执行漏洞（CVE-2024-38077）
企业实战系列集 ●●● https://ximenjianxue.blog.csdn.net
08-10 2741
开启该服务（Windows 远程桌面授权服务）并且操作系统版本在受影响范围的 Windows Server 受影响，没有开启该服务但是操作系统版本在受影响范围的Windows Server 不受影响，Windows 10、Windows 11 等非 Server 版本的操作系统，不论是否开启Windows 远程桌面（RDS），均不受影响。这一漏洞存在于Windows远程桌面许可管理服务（RDL）中，该服务被广泛部署于开启Windows远程桌面（3389端口）的服务器，用于管理远程桌面连接许可。
【CVE-2024-38077】修复Windows 远程桌面授权服务远程代码执行漏洞记录
提笔忘字的帝国
08-16 1108
官方漏洞指南：Security Update Guide - Microsoft Security Response Center受影响版本： 访问官网的指南，假如我是2008 R2 sp1的系统： 下载好后上传到服务器安装即可。假如你安装过程中出现预料之外的情况，可参考：windows server安装补丁相关问题记录-CSDN博客
【POC未成功控制】Windows 远程桌面授权服务远程代码执行漏洞 CVE-2024-38077 漏洞 狂躁许可（MadLicense）
Bugatti100Peagle的博客
08-18 844
没啥用但噱头很大的鸡肋漏洞，漏洞本身价值很大，但是防守应急处置手段太过简单，没有沉没代价，只要封一个135端口就行，基本不影响业务。默认情况下，Windows服务器远程桌面服务仅支持两个并发会话，在启用RDP多并发会话支持时，需要手动安装RDL服务。不排除还有未更新的和未关闭端口的服务，总之是看谁手速快了。我现在因为复现失败很狂躁，不愧是狂躁许可（MadLicense），真是让人狂躁。
CVE-2024-38077：Windows远程桌面授权服务的‘隐形杀手’——深度剖析与紧急防护策略
超哥的博客
08-12 1521
CVE-2024-38077：Windows远程桌面授权服务的‘隐形杀手’——深度剖析与紧急防护策略1 漏洞描述2 漏洞影响2.1 处置优先级：高2.2 影响版本3 漏洞检测3.1 漏洞检测工具3.2
Windows远程代码执行漏洞（CVE-2024-38077）风险公告
qcloud_security的博客
08-09 2408
近期，微软披露一个远程代码执行严重漏洞（CVE-2024-38077）。这一漏洞存在于Windows远程桌面许可管理服务（RDL）中，该服务被部署于开启了Windows远程桌面（3389端口）的服务器，用于管理远程桌面连接许可。
[微软漏洞0809]远程桌面授权服务(RDL)远程代码执行漏洞（CVE-2024-38077）
yh
08-09 2155
CVE-2024-38077
CVE-2024-38077 Windows远程桌面授权服务漏洞介绍
轻舟已过万重山
08-14 762
漏洞编号漏洞类型：远程代码执行 (RCE)影响范围：Windows远程桌面授权服务危害程度：极高发现时间：2024年8月初。
针对服务器操作系统发现的高危漏洞“Windows远程桌面授权服务远程代码执行高危漏洞（CVE-2024-38077）“解决方案
xjtop263的博客
08-12 240
二、需按照官方指导下载安装补丁（https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38077）。2.配置防火墙访问策略，限制135、3389端口的访问。1.在服务器上关闭远程桌面许可服务（RDL）；上述方式可临时避免漏洞利用，
Windows核弹漏洞披露！CVE-2024-38077（POC）
weixin_53523921的博客
08-10 4806
Windows核弹漏洞披露！CVE-2024-38077（POC）
CVE-2024-38077是一个关于Windows远程桌面许可服务的远程代码执行漏洞.docx
08-13
CVE-2024-38077是一个关于Windows远程桌面许可服务（Remote Desktop Licensing Service，简称RDL）的远程代码执行漏洞。以下是对该漏洞的详细解析： 一、漏洞概述 漏洞编号：CVE-2024-38077 漏洞类型：远程代码执行...
远程执行代码漏洞(CVE-2018-0886)漏洞修复
08-21
文件"Microsoft Windows CredSSP 远程执行代码漏洞(CVE-2018-0886).msu"就是这个安全更新的补丁，用户可以通过Windows Update或手动下载安装。此外，除了应用补丁，管理员还应该配置CredSSP以禁止加密协议降级，以...
CVE-2024-38077漏洞检测工具
08-15
检测某个ip地址是否存在CVE-2024-38077漏洞，Windows 远程桌面授权服务远程代码执行漏洞。 使用方法：test.exe 192.168.1.2，扫描IP地址为192.168.1.2机器是否存在漏洞
【系统安全】Windows 远程桌面授权服务(RDL)远程代码执行漏洞（CVE-2024-38077）
做自己喜欢的事，并将其发挥到极致！
08-14 267
Windows远程桌面授权服务（RDL）是一个用于管理远程桌面服务许可证的组件,确保对远程桌面连接的合法性。该服务被广泛部署于开启了Windows远程桌面服务（3389端口）的服务器上,但漏洞的利用不是通过3389端口,需要先连接135端口发送访问请求,然后服务器给出一个连接RDL服务的动态高端口,再连接访问,如果服务器对外不开放135端口则不可利用
Java List 转map,分组,排序
wdquan19851029的专栏
08-22 195
日常工作中经常需要用到对List集合的分组、排序、转Map等操作，每次都会忘记，然后去网上查，费时又费力，不如自己好好总结一下，提升工作效率和减少bug率。
Java合并两个List并去掉重复项
qq_31667253的博客
08-21 278
今天在工作中遇到了需要将两个List合并成一个，并去重的功能点。这种需求点很少，但是还真会出现。下面给大家展示下我是怎么实现的。
快速上手 STL中 map 和 set 的使用
最新发布
知其然 知其所以然
08-23 926
快速上手STL中set和map的使用。
Json-TypeFactory和TypeReference和JavaType
兴趣是最好的老师
08-20 233
TypeFactory 是 Jackson 提供的一个工厂类，用于创建 JavaType 实例，即 Java 类型的表示。在 Jackson 中，TypeFactory 和 TypeReference 都是用来处理泛型类型转换的工具。如果你在使用 Fastjson，那么 TypeReference 是处理泛型类型的主要工具。TypeReference 是 Fastjson 提供的一个抽象类，用于指定反序列化的类型。在 Fastjson 中，TypeReference 也是用来处理泛型类型的工具。
[JAVA]什么是泛型？泛型在Java中的应用
2301_79757798的博客
08-21 1181
所谓泛型,就是允许在定义类、接口时通过一个标识表示类中某个属性的类型或者是某个方法的返回值及参数类型
OpenSSH 远程代码执行漏洞(CVE-2024-6387)
07-04
<< OpenSSH 是一个广泛使用的开源网络协议，用于提供安全的远程登录（SSH）服务。CVE-2024-6387是一个公开的安全漏洞，也被称为“OpenSSH 命令注入漏洞”或“SSH Remote Code Execution (RCE)”，它发生在某些版本的 OpenSSH 中。 这个漏洞允许攻击者通过精心构造的 SSH 命令执行任意系统命令，从而获得对远程服务器的控制，如果用户权限足够，这可能导致严重的数据泄露或系统破坏。具体来说，攻击者能够利用该漏洞通过发送恶意 SSH 延迟请求，使得 SSH 服务器处理命令的过程中出现错误，从而绕过输入验证机制，得以执行未经授权的操作。 修复此漏洞的方法通常是升级到最新版的 OpenSSH 客户端和服务器软件，因为开发团队通常会为这类高危漏洞发布补丁。为了保护系统安全，管理员应尽快应用这些更新，并限制不必要的 SSH 访问权限，只允许经过身份验证并有明确授权的用户连接。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值