微软爆超严重远程代码执行漏洞MadLicense

《微软爆超严重远程代码执行漏洞MadLicense》

目录

• 引言
• 漏洞概述
• 漏洞详情
• 漏洞演示视频
• 漏洞Poc演示代码
• 漏洞影响

引言

7月份，微软修复了142个漏洞，其中包括一个超严重的远程代码执行漏洞MadLicense，中文译为狂躁许可，CVE编号为CVE-2024-38077。

漏洞概述

漏洞名称：CVE-2024-38077
CVSS评分：9.8（满分10分）
漏洞类型：远程代码执行
影响范围：开启Windows Remote Desktop Licensing（RDL）Service 的Windows服务器
影响版本：Windows Server 2000 - Windows Server 2025
综合评价：
<利用难度>：容易
<威胁等级>：严重
官方解决方案：微软官方已发布补丁公告

该漏洞是一个预身份验证 RCE 缺陷，允许攻击者在易受攻击的系统上执行任意代码，而无需用户交互。

这一漏洞存在于Windows远程桌面许可管理服务（RDL）中，该服务被广泛部署于开启Windows远程桌面（3389端口）的服务器，用于管理远程桌面连接许可。攻击者无需任何前置条件，无需用户交互（零点击）便可直接获取服务器最高权限，执行任意操作。

该远程代码执行漏洞， CVSS评分高达9.8 ，可导致开启了远程桌面许可服务的Windwos服务器完全沦陷。 漏洞影响Windows Server 2000到Windows Server 2025所有版本，已存在近30年。 该漏洞可稳定利用、 可远控、可勒索、可蠕虫等，破坏力极大。

该漏洞是自“永恒之蓝”后，Windows首次出现影响全版本且能高稳定利用的认证前RCE漏洞。建议尽快通过官网公告更新安全补丁。

漏洞详情

该缺陷的根源在于“CDataCoding::DecodeData”过程中，分配了一个固定大小的缓冲区（21字节），然后用于计算和填充用户控制的长度缓冲区，导致堆溢出。

堆栈调用伪代码

堆栈调用伪代码
```windbg


0:012> k


 # Child-SP          RetAddr               Call Site


00 000000b9`d2ffbd30 00007fff`67a76fec     lserver!CDataCoding::DecodeData


01 000000b9`d2ffbd70 00007fff`67a5c793     lserver!LKPLiteVerifyLKP+0x38


02 000000b9`d2ffbdc0 00007fff`67a343eb     lserver!TLSDBTelephoneRegisterLicenseKeyPack+0x163


03 000000b9`d2ffd7d0 00007fff`867052a3     lserver!TLSRpcTelephoneRegisterLKP+0x15b


04 000000b9`d2fff0c0 00007fff`8664854d     RPCRT4!Invoke+0x73


05 000000b9`d2fff120 00007fff`86647fda     RPCRT4!NdrStubCall2+0x30d


06 000000b9`d2fff3d0 00007fff`866b7967     RPCRT4!NdrServerCall2+0x1a


07 000000b9`d2fff400 00007fff`86673824     RPCRT4!DispatchToStubInCNoAvrf+0x17


08 000000b9`d2fff450 00007fff`866729e4     RPCRT4!RPC_INTERFACE::DispatchToStubWorker+0x194


09 000000b9`d2fff520 00007fff`86688d4a     RPCRT4!RPC_INTERFACE::DispatchToStub+0x1f4


0a 000000b9`d2fff7c0 00007fff`86688af1     RPCRT4!OSF_SCALL::DispatchHelper+0x13a


0b 000000b9`d2fff8e0 00007fff`86687809     RPCRT4!OSF_SCALL::DispatchRPCCall+0x89


0c 000000b9`d2fff910 00007fff`86686398     RPCRT4!OSF_SCALL::ProcessReceivedPDU+0xe1


0d 000000b9`d2fff9b0 00007fff`86697f4c     RPCRT4!OSF_SCONNECTION::ProcessReceiveComplete+0x34c


0e 000000b9`d2fffab0 00007fff`840377f1     RPCRT4!CO_ConnectionThreadPoolCallback+0xbc


0f 000000b9`d2fffb30 00007fff`867f7794     KERNELBASE!BasepTpIoCallback+0x51


10 000000b9`d2fffb80 00007fff`867f7e37     ntdll!TppIopExecuteCallback+0x1b4


11 000000b9`d2fffc00 00007fff`85b11fd7     ntdll!TppWorkerThread+0x547


12 000000b9`d2ffff60 00007fff`8683d9c0     KERNEL32!BaseThreadInitThunk+0x17


13 000000b9`d2ffff90 00000000`00000000     ntdll!RtlUserThreadStart+0x20

1
2
3
4
5void __fastcall CDataCoding::SetInputEncDataLen(CDataCoding *this)
6
7
8{
9
10
11  // ...
12
13
14  dword_1800D61D0 = 35;
15
16
17  v1 = log10_0((double)dword_1800D61C8) * 35.0;
18
19
20  v2 = v1 / log10_0(2.0);
21
22
23  v3 = (int)v2 + 1;
24
25
26  v4 = 0;
27
28
29  if ( v2 <= (double)(int)v2 )
30
31
32    v3 = (int)v2;
33
34
35  LOBYTE(v4) = (v3 & 7) != 0;
36
37
38  LODWORD(dwBytes) = (v3 >> 3) + v4; // dwBytes is a fixed value 21
39
40
41}
42
43
44__int64 __fastcall CDataCoding::DecodeData(
45
46
47        CDataCoding *this,
48
49
50        const unsigned __int16 *a2,
51
52
53        unsigned __int8 **a3,
54
55
56        unsigned int *a4)
57
58
59{
60
61
62  // ...
63
64
65  v4 = 0;
66
67
68  v8 = 0;
69
70
71  if ( a3 )
72
73
74  {
75
76
77    // dwBytes is a global variable with value 21
78
79
80    v9 = dwBytes;
81
82
83    *a3 = 0i64;
84
85
86    *a4 = 0;
87
88
89    ProcessHeap = GetProcessHeap();
90
91
92    v11 = (unsigned __int8 *)HeapAlloc(ProcessHeap, 8u, v9);
93
94
95    v12 = v11;
96
97
98    if ( v11 )
99
100
101    {
102
103
104      memset_0(v11, 0, (unsigned int)dwBytes);
105
106
107      while ( *a2 )
108
109
110      {
111
112
113        // Str is BCDFGHJKMPQRTVWXY2346789
114
115
116        // a2 is user-controlled buffer
117
118
119        v13 = wcschr_0(Str, *a2);
120
121
122        if ( !v13 )
123
124
125        {
126
127
128          v4 = 13;
129
130
131          v18 = GetProcessHeap();
132
133
134          HeapFree(v18, 0, v12);
135
136
137          return v4;
138
139
140        }
141
142
143        // here change the integer a2 from base 24 to base 10
144
145
146        // but does not check the length of a2
147
148
149        v14 = v13 - Str;
150
151
152        v15 = v12;
153
154
155        v16 = (unsigned int)(v8 + 1);
156
157
158        do
159
160
161        {
162
163
164          v17 = dword_1800D61C8 * *v15 + v14;
165
166
167          *v15++ = v17;
168
169
170          LODWORD(v14) = v17 >> 8;
171
172
173          --v16;
174
175
176        }
177
178
179        while ( v16 );
180
181
182        if ( (_DWORD)v14 )
183
184
185          v12[++v8] = v14;
186
187
188        ++a2;
189
190
191      }
192
193
194      *a4 = dwBytes;
195
196
197      *a3 = v12;
198
199
200    }
201
202
203    else
204
205
206    {
207
208
209      return 8;
210
211
212    }
213
214
215  }
216
217
218  else
219
220
221  {
222
223
224    return 87;
225
226
227  }
228
229
230  return v4;
231
232
233}
234
235
236}

该漏洞通过操纵许可服务来加载远程 DLL，从而允许攻击者在服务进程中执行任意 shellcode。

漏洞Poc演示代码

由于漏洞的严重性，为了防止Poc被滥用，这里仅仅只是提供伪代码。

https://github.com/CloudCrowSec001/CVE-2024-38077-POC

漏洞演示视频

研究人员 Ver、Lewis Lee 和zhiniang Peng 的 PoC 漏洞演示了如何利用此漏洞绕过 Windows Server 2025 中的现代安全防护措施，从而实现完整的远程代码执行功能。

视频来源于YouTube

漏洞利用可以构建在Windows Server 2000到Windows Server 2025上的所有服务器。这里我们只以2025版本进行演示，因为Windows Server 2025号称是最新、最安全的Windows Server 。

微软已获悉此漏洞的可利用性，但最初将其标记为“利用可能性较小”。

漏洞影响

由于有超过 170,000 个远程桌面授权服务暴露在公共互联网上，因此该漏洞的潜在影响是巨大的。内部网络中受影响的数量无疑要大得多，该漏洞的零点击性质使其特别危险，因为它可以在没有任何用户交互的情况下被利用，从而增加了广泛攻击的风险。

该漏洞利用的POC在Windows Server 2025上的成功率超过95%。考虑到服务崩溃后会重新启动，并且不需要两次泄露模块基地址，最终的成功率可能会更高（接近100%）。

此漏洞几乎等同于当年的“永恒之蓝”漏洞。

参考链接：

https://sites.google.com/site/zhiniangpeng/blogs/MadLicense

https://cybersecuritynews.com/madlicense-0-click-rce-flaw/

推荐阅读

• 期待点赞、评论、转发，您的支持就是我们的动力。
• 欢迎阅读其他文章可能会激发您更多的思考。

关于我们

极智安科技是一家专注于AGI安全方向的人工智能公司。曾受邀参与针对openai明星产品chatgpt的安全攻防评测，在针对chatgpt的安全测试中发现多种越狱攻击，数据泄露问题。公司创始成员具有丰富的安全攻防实战经验，安全体系建设经验。公司可提供最专业的AIGC内容安全检测服务，AIGC安全评测服务，AIGC安全合规服务，AIGC数据安全服务等。

更多信息可关注公司官网 www.jzatech.com。

点击左下角“阅读原文”查看AGI安全系列文章。

【极智安科技专注于AGI安全方向，提供最专业的AIGC安全解决方案，欢迎关注与交流。】