Der Remotedesktop-Lizenzierungsdienst lauscht auf RPC-dynamischen Endpunkten (üblicherweise Ports 49664–49681), die über TCP-Port 135 (RPC-Endpunkt-Mapper) erreichbar sind. Die Schwachstelle befindet sich im LicensingSendResponse- oder einem verwandten RPC-Schnittstellenhandler in der Heap-Speicherverwaltung des Lizenzierungsdienstes. Durch Senden einer speziell gestalteten Lizenzierungsprotokollanfrage mit einer überdimensionierten oder fehlerhaften LicensingBinary-Struktur führt der Dienst eine unsichere memcpy-Operation in einen Heap-Puffer unzureichender Größe durch, wodurch benachbarte Heap-Metadaten beschädigt und Codeausführung ermöglicht wird.

Wesentliche Aspekte:

• Vorauthentifizierung: Es sind keine gültigen Anmeldedaten oder eine RDP-Sitzung erforderlich.
• 0-Click: Keine Benutzerinteraktion auf dem Ziel.
• Netzwerkvektor: Wird remote über das Netzwerk ausgenutzt.
• Auswirkungen: Vollständige Kompromittierung des Ziel-Windows-Servers auf SYSTEM-Ebene.

III. Betroffene Versionen

Frühere Versionen (Windows 2000 Server, Server 2003, Server 2008) können ebenfalls betroffen sein, wenn der RDL-Dienst aktiviert ist.

IV. Einrichtung der Umgebung

1. Installieren Sie eine unterstützte Windows Server-Version (2008–2025) in einer virtuellen Maschine.
2. Stellen Sie sicher, dass die Rolle „Remotedesktop-Lizenzierung“ über den Server-Manager installiert ist:
   • Rollen und Features hinzufügen → Remotedesktopdienste → Remotedesktop-Lizenzierung
3. Starten/Überprüfen Sie den Dienst:
   • net start "Remote Desktop Licensing"
4. Bestätigen Sie, dass der Dienst lauscht:
   • netstat -an | findstr LISTENING
   • Der RDL-Dienst registriert dynamische RPC-Endpunkte. Fragen Sie Port 135 mit einem RPC-Endpunkt-Mapper-Tool ab.
5. Isolieren Sie die Ziel-VM von Produktionsnetzwerken — der PoC wird standardmäßig einen Absturz auslösen.

V. Reproduktionsschritte

1. Führen Sie das PoC-Skript gegen einen Ziel-Windows-Server mit freigegebenem RDL-Dienst aus:
   root@kitploit:~

   python exploit.py --target <TARGET_IP>
   

2. Überwachen Sie auf dem Ziel einen Absturz des tlslicense.dll-Dienstes oder einen Systemabsturz (BSOD, abhängig vom Schweregrad der Heap-Beschädigung).
3. Um den Überlauf zu überprüfen, hängen Sie einen Debugger (WinDbg) an den svchost.exe-Prozess, der den RDL-Dienst hostet, bevor Sie den Exploit auslösen, und beobachten Sie die Zugriffsverletzung.

VI. PoC-Code

Das beiliegende Skript exploit.py in diesem Verzeichnis enthält eine Reproduktion des MadLicense-Angriffs. Es verbindet sich mit dem Ziel-RDL-Dienst über RPC over TCP, erstellt eine fehlerhafte Lizenzierungsanfrage mit einem überdimensionierten Binärblob und löst den Heap-Pufferüberlauf aus.

VII. Gegenmaßnahmen

• Patch: Installieren Sie das offizielle Sicherheitsupdate von Microsofts Patch Tuesday vom Juli 2024 (KB5040426 / KB5040430 / KB5040434 / KB5040437, abhängig von der Windows-Version).
• Workaround:
  • Deaktivieren Sie den Remotedesktop-Lizenzierungsdienst, falls nicht benötigt:
    root@kitploit:~

    sc stop "Remote Desktop Licensing"
    sc config "Remote Desktop Licensing" start= disabled
    

  • Blockieren Sie eingehende RPC-Dynamikports (TCP 49152–65535 / 49664–49681) in der Firewall, während Sie nur notwendigen RPC-Verkehr zulassen.
  • Schränken Sie den Zugriff auf TCP/135 und RPC-Dynamikports durch Netzwerksegmentierung ein.

VIII. Referenzen

• Microsoft Security Response Center: CVE-2024-38077
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38077
• https://nvd.nist.gov/vuln/detail/CVE-2024-38077
• Xing (Ver) L., Lewis Lee, Zhiniang Peng — Originalveröffentlichung
• https://attackerkb.com/topics/CVE-2024-38077