CVE-2024-38077: Windows Remote Desktop Licensing Service Remote Code Execution ("MadLicense")

I. भेद्यता अवलोकन

• CVE ID: CVE-2024-38077
• उपनाम: MadLicense
• CVSS स्कोर: 9.8 (गंभीर)
• प्रकार: हीप-आधारित बफर ओवरफ़्लो (CWE-122)
• खोजकर्ता: Ver, Lewis Lee, Zhiniang Peng
• विवरण: Windows Remote Desktop Licensing (RDL) सेवा में एक प्री-ऑथेंटिकेशन, जीरो-क्लिक रिमोट कोड निष्पादन भेद्यता। एक अप्रमाणित हमलावर mstlsap.dll / tlslicense.dll द्वारा उजागर RPC over TCP एंडपॉइंट पर एक क्राफ्टेड RPC पैकेट भेज सकता है, जो हीप बफर ओवरफ़्लो को ट्रिगर करता है और SYSTEM के संदर्भ में मनमाना कोड निष्पादन की ओर ले जाता है।

II. तकनीकी विवरण

Remote Desktop Licensing सेवा RPC डायनामिक एंडपॉइंट (आमतौर पर पोर्ट 49664–49681) पर सुनती है, जो TCP पोर्ट 135 (RPC एंडपॉइंट मैपर) के माध्यम से पहुंच योग्य होते हैं। भेद्यता लाइसेंसिंग सेवा के हीप मेमोरी प्रबंधन में LicensingSendResponse या संबंधित RPC इंटरफ़ेस हैंडलर में रहती है। एक विशेष रूप से तैयार लाइसेंसिंग प्रोटोकॉल अनुरोध को एक ओवरसाइज़्ड या विकृत LicensingBinary संरचना के साथ भेजकर, सेवा अपर्याप्त आकार के हीप बफर में एक असुरक्षित memcpy करती है, आसन्न हीप मेटाडेटा को दूषित करती है और कोड निष्पादन को सक्षम करती है।

मुख्य पहलू:

• प्री-ऑथ: कोई मान्य क्रेडेंशियल या RDP सत्र आवश्यक नहीं।
• 0-क्लिक: लक्ष्य पर कोई उपयोगकर्ता इंटरैक्शन नहीं।
• नेटवर्क वेक्टर: नेटवर्क पर दूरस्थ रूप से शोषण योग्य।
• प्रभाव: लक्ष्य Windows सर्वर का पूर्ण SYSTEM-स्तरीय समझौता।

III. प्रभावित संस्करण

पुराने संस्करण (Windows 2000 Server, Server 2003, Server 2008) भी प्रभावित हो सकते हैं यदि RDL सेवा सक्षम है।

IV. वातावरण सेटअप

1. एक वर्चुअल मशीन में समर्थित Windows सर्वर संस्करण (2008–2025) स्थापित करें।
2. सर्वर मैनेजर के माध्यम से Remote Desktop Licensing भूमिका स्थापित करना सुनिश्चित करें:
   • भूमिकाएँ और सुविधाएँ जोड़ें → Remote Desktop Services → Remote Desktop Licensing
3. सेवा प्रारंभ/सत्यापित करें:
   • net start "Remote Desktop Licensing"
4. सेवा सुन रही है इसकी पुष्टि करें:
   • netstat -an | findstr LISTENING
   • RDL सेवा डायनामिक RPC एंडपॉइंट पंजीकृत करती है। RPC एंडपॉइंट मैपर टूल के साथ पोर्ट 135 क्वेरी करें।
5. लक्ष्य VM को उत्पादन नेटवर्क से अलग करें — PoC डिफ़ॉल्ट रूप से एक क्रैश को ट्रिगर करेगा।

V. पुनरुत्पादन चरण

1. PoC स्क्रिप्ट को RDL सेवा उजागर करने वाले लक्षित Windows सर्वर के विरुद्ध चलाएँ:
   root@kitploit:~

   python exploit.py --target <TARGET_IP>
   

2. लक्ष्य पर, tlslicense.dll सेवा के क्रैश या सिस्टम क्रैश (हीप भ्रष्टाचार की गंभीरता के आधार पर BSOD) की निगरानी करें।
3. ओवरफ़्लो को सत्यापित करने के लिए, शोषण को ट्रिगर करने से पहले RDL सेवा होस्ट करने वाले svchost.exe में एक डीबगर (WinDbg) संलग्न करें और एक्सेस उल्लंघन का निरीक्षण करें।

VI. PoC कोड

इस निर्देशिका में साथ वाली स्क्रिप्ट exploit.py में MadLicense हमले का पुनरुत्पादन है। यह TCP पर RPC के माध्यम से लक्ष्य RDL सेवा से जुड़ता है, एक ओवरसाइज़्ड बाइनरी ब्लॉब के साथ एक विकृत लाइसेंसिंग अनुरोध बनाता है, और हीप बफर ओवरफ़्लो को ट्रिगर करता है।

VII. शमन

• पैच: Microsoft के जुलाई 2024 पैच मंगलवार (Windows संस्करण के आधार पर KB5040426 / KB5040430 / KB5040434 / KB5040437) से आधिकारिक सुरक्षा अद्यतन स्थापित करें।
• कार्य-समाधान:
  • यदि आवश्यक न हो तो Remote Desktop Licensing सेवा अक्षम करें:
    root@kitploit:~

    sc stop "Remote Desktop Licensing"
    sc config "Remote Desktop Licensing" start= disabled
    

  • फ़ायरवॉल पर इनबाउंड RPC डायनामिक पोर्ट (TCP 49152–65535 / 49664–49681) को ब्लॉक करें, जबकि केवल आवश्यक RPC ट्रैफ़िक की अनुमति दें।
  • नेटवर्क सेगमेंटेशन के माध्यम से TCP/135 और RPC डायनामिक पोर्ट तक पहुँच प्रतिबंधित करें।

VIII. संदर्भ

• Microsoft सुरक्षा प्रतिक्रिया केंद्र: CVE-2024-38077
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38077
• https://nvd.nist.gov/vuln/detail/CVE-2024-38077
• Xing (Ver) L., Lewis Lee, Zhiniang Peng — मूल प्रकटीकरण
• https://attackerkb.com/topics/CVE-2024-38077