CVE-2024-49113 — PoC für die Windows-LDAP-DoS-Schwachstelle

Autor: SafeBreach Status: Gepatcht (Microsoft, Dezember 2024 Patch Tuesday)
CVSSv3-Score: 7.5 (Hoch)

Bypass von Windows Server und kommerziellem EDR

Autor: Tim Shing Status: Nicht gepatcht CVSSv3-Score: 7.4 (Hoch)

⚠️ Haftungsausschluss

Dieses Repository dient ausschließlich Bildungs- und autorisierten Sicherheitsforschungszwecken.
Verwenden Sie es nicht gegen ein System ohne ausdrückliche schriftliche Genehmigung des Systeminhabers.
Der Autor übernimmt keine Verantwortung für den Missbrauch dieses Codes.

Überblick über die Schwachstelle

Feld	Detail
CVE-ID	CVE-2024-49113
Betroffene Komponente	Windows Lightweight Directory Access Protocol (LDAP)
Schwachstellentyp	Denial of Service (DoS)
Angriffsvektor	Netzwerk (nicht authentifiziert)
Betroffene Systeme	Windows Server 2019, 2022; Windows 10/11 (ungepatcht)
Patch verfügbar	Ja — KB5048239 (Dezember 2024)

Grundursache

Ungepatchte Windows-Systeme exponieren LDAP auf Port 389 ohne Verschlüsselung, sodass ein entfernter Angreifer über eine fehlerhafte LDAP-Anfrage einen Absturz auslösen kann, was zu einem Systemherunterfahren oder -neustart führt (DoS). Bypass der Windows-EDR – technische Fähigkeiten nicht offenlegen #ethische Verantwortung

Entdeckungs- und Forschungsprozess

Diese Schwachstelle wurde im Rahmen meines Abschlussprojekts zu automatisiertem Schwachstellen-Scanning und Exploit-Entwicklung untersucht.

Methodik:

Automatisiertes Netzwerk-Scanning mit Nmap, um Hosts mit offenem Port 389 zu identifizieren
Schwachstellenvalidierung mit Nessus (Plugin für LDAP-Exposition)
Reproduktion der DoS-Bedingung in einer isolierten Laborumgebung (Windows Server 2022 VM)
Dokumentation von Angriffsvektor, Auswirkung und Abhilfemaßnahmen

Repository-Inhalt


├── exploit/
│   └── LdapNightmare.py   # PoC — lab use only
|   └── logger.py
|   └── rpc_call.py

Abhilfemaßnahmen (Verteidigungsperspektive)

Dies ist der wichtigste Teil – zu wissen, wie man es behebt:

Microsoft-Patch KB5048239 sofort anwenden (Dezember 2024 Patch Tuesday)
Port 389 (unverschlüsseltes LDAP) auf Firewall-Ebene blockieren; nur LDAPS (Port 636) erzwingen
Legacy-LDAP deaktivieren über Gruppenrichtlinie: Network security: LDAP client signing requirements → Require signing
Auf anomale LDAP-Aktivitäten überwachen mithilfe von SIEM-Regeln, die auf Verbindungen mit hohem Port-389-Volumen abzielen
Risikobehandlung (ISO 27001 Annex A):
- A.8.8 — Management technischer Schwachstellen
- A.8.20 — Netzwerksicherheitskontrollen

Laborumgebung

Alle Tests wurden in einem isolierten, Offline-Virtuallabor durchgeführt:

VMware Workstation (Host-Only-Netzwerk)
Windows Server 2019 (ungepatcht, absichtlich verwundbares Ziel)
Kali Linux (Angreifer-Maschine)

Es waren keine Produktions- oder Drittsysteme beteiligt.

Referenzen

Microsoft-Sicherheitshinweis — CVE-2024-49113
NVD-Eintrag
NIST SP 800-115 — Technischer Leitfaden für Tests der Informationssicherheit
ISO/IEC 27001:2022 Anhang-A-Kontrollen

Kontakt

Tim Shing
📧 [email protected]
🔗 LinkedIn
📍 Hong Kong

CVE-2024-49113 — Updated!

Kategorien