继BlueKeep之后 Windows远程桌面再曝沉大缝隙

颁布功夫 2019-08-15
2019年8月13日，微软颁布月度更新补丁建复了四个新的RDP远程代码执行缝隙（CVE-2019-1181、CVE-2019-1182、CVE-2019-1222、CVE-2019-1226）。这四个缝隙均可使攻击者在未经身份验证的情况下，发送特定要求到指标主机，进而实现远程代码执行。

这四个缝隙中，至少有两个缝隙(CVE-2019-1181和CVE-2019-1182)与之前的“BlueKeep”（CVE-2019-0708）类似，能够实现蠕虫化攻击。微软强烈建议受影响的系统尽快建复缝隙。

目前尚无证据批注有关缝隙有被野表利用的迹象，但随着攻击者对缝隙补丁的深刻钻研，极有可能机关出可能利用缝隙的POC甚至EXP代码。

? 影响领域

CVE-2019-1181、CVE-2019-1182


Windows 7 SP1
Windows Server 2008 R2 SP1
Windows Server 2012
Windows 8.1
Windows Server 2012 R2
Windows Server 2016
Windows Server 2019
所有Windows 10蕴含服务器版本

CVE-2019-1222、CVE-2019-1226


Windows 10 和 Windows Server版本

? 解决规划

1、目前微软已经颁布针对上述缝隙的更新补丁，建议尽快进行有关升级。补丁链接如下：

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1181
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1182
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1222
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1226

2、针对CVE-2019-1181、CVE-2019-1182缝隙，可通过启用网络级别身份验证来阻止未经身份验证的攻击者利用此缝隙。启用NLA后，攻击者首先必要使用指标系统上的有效帐户对远程桌面服务进行身份验证，能力成功利用此缝隙。

3、对于无特殊需要的用户，请尽量关关远程桌面服务，预防主机被直接露出在互联网上。

宝运莱官方网站将亲昵关注缝隙有关事态发展，随时更新解决规划。