Il servizio Remote Desktop Licensing è in ascolto su endpoint RPC dinamici (in genere porte 49664–49681) raggiungibili tramite la porta TCP 135 (RPC Endpoint Mapper). La vulnerabilità risiede nel gestore dell'interfaccia RPC LicensingSendResponse o correlato, all'interno della gestione della memoria heap del servizio di licenza. Inviando una richiesta di protocollo di licenza appositamente modificata con una struttura LicensingBinary troppo grande o malformata, il servizio esegue una memcpy non sicura in un buffer heap di dimensioni insufficienti, corrompendo i metadati heap adiacenti e consentendo l'esecuzione di codice.

Aspetti chiave:

• Pre-autenticazione: Non sono richieste credenziali valide o sessioni RDP.
• Zero-click: Nessuna interazione utente sul target.
• Vettore di rete: Sfruttabile da remoto tramite la rete.
• Impatto: Compromissione completa del Windows Server target a livello di SYSTEM.

III. Versioni interessate

Le versioni precedenti (Windows 2000 Server, Server 2003, Server 2008) potrebbero essere interessate se il servizio RDL è abilitato.

IV. Configurazione dell'ambiente

1. Installare una versione supportata di Windows Server (2008–2025) in una macchina virtuale.
2. Assicurarsi che il ruolo Remote Desktop Licensing sia installato tramite Server Manager:
   • Aggiunta ruoli e funzionalità → Servizi Desktop remoto → Licenza Desktop remoto
3. Avviare/verificare il servizio:
   • net start "Remote Desktop Licensing"
4. Confermare che il servizio sia in ascolto:
   • netstat -an | findstr LISTENING
   • Il servizio RDL registra endpoint RPC dinamici. Interrogare la porta 135 con uno strumento di RPC endpoint mapper.
5. Isolare la VM target dalle reti di produzione — il PoC causerà un crash per impostazione predefinita.

V. Passaggi per la riproduzione

1. Eseguire lo script PoC contro un Windows Server target con il servizio RDL esposto:
   root@kitploit:~

   python exploit.py --target <TARGET_IP>
   

2. Sul target, monitorare un crash del servizio tlslicense.dll o un crash di sistema (BSOD a seconda della gravità della corruzione dell'heap).
3. Per verificare l'overflow, collegare un debugger (WinDbg) al processo svchost.exe che ospita il servizio RDL prima di attivare l'exploit e osservare l'access violation.

VI. Codice PoC

Lo script exploit.py incluso in questa directory contiene una riproduzione dell'attacco MadLicense. Si connette al servizio RDL target tramite RPC su TCP, costruisce una richiesta di licenza malformata con un blob binario di dimensioni eccessive e attiva il buffer overflow basato su heap.

VII. Mitigazione

• Patch: Installare l'aggiornamento di sicurezza ufficiale dal Patch Tuesday di Microsoft di luglio 2024 (KB5040426 / KB5040430 / KB5040434 / KB5040437 a seconda della versione di Windows).
• Soluzione alternativa:
  • Disabilitare il servizio Remote Desktop Licensing se non necessario:
    root@kitploit:~

    sc stop "Remote Desktop Licensing"
    sc config "Remote Desktop Licensing" start= disabled
    

  • Bloccare nel firewall le porte RPC dinamiche in ingresso (TCP 49152–65535 / 49664–49681) consentendo solo il traffico RPC necessario.
  • Limitare l'accesso alla porta TCP/135 e alle porte RPC dinamiche tramite segmentazione della rete.

VIII. Riferimenti

• Microsoft Security Response Center: CVE-2024-38077
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38077
• https://nvd.nist.gov/vuln/detail/CVE-2024-38077
• Xing (Ver) L., Lewis Lee, Zhiniang Peng — Divulgazione originale
• https://attackerkb.com/topics/CVE-2024-38077