微软RDP远程桌面服务多个RCE缝隙安全公告

颁布功夫 2019-08-14

? 缝隙编号和级别


CVE编号：CVE-2019-1181 ，危险级别：严沉 ，CVSS分值：9.8
CVE编号：CVE-2019-1182 ，危险级别：严沉 ，CVSS分值：9.8
CVE编号：CVE-2019-1222 ，危险级别：严沉 ，CVSS分值：9.8
CVE编号：CVE-2019-1226 ，危险级别：严沉 ，CVSS分值：9.8


? 影响版本


受影响的版本


Windows 7 SP1、Windows Server 2008 R2 SP1、 Windows Server 2012、Windows 8.1、Windows Server 2012 R2和所有受支持的蕴含服务器版本在内的Windows 10 版本


不受影响的版本


Windows XP、Windows Server 2003和 Windows Server 2008 均不受影响 ，以及远程桌面和谈 (RDP) 自身并不受影响


? 缝隙概述


微软星期二颁布了例行补丁建复规划 ，其中蕴含4个严沉的远程桌面服务远程代码执行缝隙。攻击者能够通过机关恶意特殊的RDP要求触发缝隙 ，获取在指标系统上的远程代码执行权限。从微软布告中来看 ，该缝隙为预身份验证 ，即无需用户交互 ，这意味着该缝隙有可能被蠕虫所利用。


目前网络上盛开RDP服务的服务器数量巨大 ，影响面极大。


微软还颁布了针对CVE-2019-1181/CVE-2019-1182启用了网络级别认证 (NLA) 职能的受影响系统的缓解措施。由于缝隙被触发前 ，NLA 要求进行认证 ，因而受影响系统缓解了可能利用该缝隙的“蠕虫级”恶意软件或高阶的恶意软件威胁。然而 ，若是攻击者拥有可能被用于进行认证的合法凭证 ，因而受影响系统依然易受远程代码执行利用的攻击。


? 缝隙验证


暂无POC/EXP。


? 建复建议


目前 ，微软官方已经颁布补丁建复了上述缝隙 ，建议用户尽快采取建补措施 ，以预防潜在的安全威胁。想要进行更新 ，只需转到设置→更新和安全→Windows 更新→查抄更新 ，或者也能够通过手动进行更新。


缓解措施 ，针对CVE-2019-1181/CVE-2019-1182：


1. 在系统上启用网络及身份认证（NLA）以临时躲避该缝隙影响


2. 在企业表围防火墙阻断TCP端口3389的链接


3. 如无需要 ，可禁用有关远程桌面服务


? 参考链接


https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1181
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1182
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1222
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1226