微软RDP远程桌面服务多个RCE缝隙安全公告

颁布功夫 2019-08-14

? 缝隙编号和级别


CVE编号：CVE-2019-1181，危险级别：严沉，CVSS分值：9.8
CVE编号：CVE-2019-1182，危险级别：严沉，CVSS分值：9.8
CVE编号：CVE-2019-1222，危险级别：严沉，CVSS分值：9.8
CVE编号：CVE-2019-1226，危险级别：严沉，CVSS分值：9.8


? 影响版本


受影响的版本


Windows 7 SP1、Windows Server 2008 R2 SP1、 Windows Server 2012、Windows 8.1、Windows Server 2012 R2和所有受支持的蕴含服务器版本在内的Windows 10 版本


不受影响的版本


Windows XP、Windows Server 2003和 Windows Server 2008 均不受影响，以及远程桌面和谈 (RDP) 自身并不受影响


? 缝隙概述


微软星期二颁布了例行补丁建复规划，其中蕴含4个严沉的远程桌面服务远程代码执行缝隙 。攻击者能够通过机关恶意特殊的RDP要求触发缝隙，获取在指标系统上的远程代码执行权限 。从微软布告中来看，该缝隙为预身份验证，即无需用户交互，这意味着该缝隙有可能被蠕虫所利用 。


目前网络上盛开RDP服务的服务器数量巨大，影响面极大 。


微软还颁布了针对CVE-2019-1181/CVE-2019-1182启用了网络级别认证 (NLA) 职能的受影响系统的缓解措施 。由于缝隙被触发前，NLA 要求进行认证，因而受影响系统缓解了可能利用该缝隙的“蠕虫级”恶意软件或高阶的恶意软件威胁 。然而，若是攻击者拥有可能被用于进行认证的合法凭证，因而受影响系统依然易受远程代码执行利用的攻击 。


? 缝隙验证


暂无POC/EXP 。


? 建复建议


目前，微软官方已经颁布补丁建复了上述缝隙，建议用户尽快采取建补措施，以预防潜在的安全威胁 。想要进行更新，只需转到设置→更新和安全→Windows 更新→查抄更新，或者也能够通过手动进行更新 。


缓解措施，针对CVE-2019-1181/CVE-2019-1182：


1. 在系统上启用网络及身份认证（NLA）以临时躲避该缝隙影响


2. 在企业表围防火墙阻断TCP端口3389的链接


3. 如无需要，可禁用有关远程桌面服务


? 参考链接


https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1181
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1182
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1222
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1226