远程代码执行超高危漏洞CVE-2024-38077

远程代码执行超高危漏洞CVE-2024-38077

微软披露最新的远程代码执行超高危漏洞CVE-2024-38077， CVSS评分高达9.8 ，可导致开启了远程桌面许可服务的Windwos服务器完全沦陷。

危害

这一漏洞存在于Windows远程桌面许可管理服务（RDL）中，该服务被广泛部署于开启Windows远程桌面（3389端口）的服务器，用于管理远程桌面连接许可。该漏洞可稳定利用、可远控、可勒索、可蠕虫等，破坏力极大，攻击者无需任何前置条件，无需用户交互（零点击）便可直接获取服务器最高权限，执行任意操作。

一旦漏洞被恶意攻击者或APT组织利用，将快速蔓延，或波及全球所有使用微软服务器的用户。这是自“永恒之蓝”后，Windows首次出现影响全版本且能高稳定利用的认证前RCE漏洞。建议尽快通过官网公告更新安全补丁。

漏洞影响版本

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)

Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)

Windows Server 2008 for x64-based Systems Service Pack 2

Windows Server 2008 for x64-based Systems Service Pack 2

Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)

Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)

Windows Server 2008 for 32-bit Systems Service Pack 2

Windows Server 2008 for 32-bit Systems Service Pack 2

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows Server 2019 (Server Core installation)

Windows Server 2019

影响范围

开启Windows Remote Desktop Licensing（RDL）Service的Windows服务器

官方解决方案

更新最新发布补丁，或者可参考以下链接下适用于该系统的补丁并安装：

 https://msrc.microsoft.com/updateguide/vulnerability/CVE-2024-38077

修复建议关闭RDL服务

（1）使用如下命令行，先确认一下RDL服务是不是开启：

  sc query TermServLicensing

（2）使用如下命令行，先关闭RDL服务：

  sc stop TermServLicensing

漏洞分析

Windows远程桌面许可服务在解码用户输入的许可密钥包时，会将用户输入的编码后的许可密钥包解码并存储到缓冲区上，但是在存储前没有正确地检验解码后数据长度与缓冲区大小之间的关系，导致缓冲区可以被超长的解码后数据溢出。攻击者可以利用这个漏洞进一步实现远程命令执行攻击。

GitHub漏洞poc

 https://github.com/qi4L/CVE-2024-38077

使用方法

 options:
   -h, --help            show this help message and exit
   --target_ip TARGET_IP
                         Target IP, eg: 192.168.120.1
   --evil_ip EVIL_IP     Evil IP, eg: 192.168.120.2
   --evil_dll_path EVIL_DLL_PATH
                         Evil dll path, eg: \smb\evil_dll.dll
   --check_vuln_exist CHECK_VULN_EXIST
                         Check vulnerability exist before exploit