主な特徴:

• 事前認証不要: 有効な資格情報や RDP セッションは不要。
• 0クリック: ターゲット上でのユーザー操作は不要。
• ネットワーク経由: ネットワークを介してリモートから悪用される。
• 影響: ターゲットの Windows Server が完全に SYSTEM レベルで侵害される。

III. 影響を受けるバージョン

以前のバージョン（Windows 2000 Server、Server 2003、Server 2008）でも、RDL サービスが有効な場合は影響を受ける可能性があります。

IV. 環境構築

1. サポートされている Windows Server バージョン（2008–2025）を仮想マシンにインストールします。
2. サーバー マネージャーでリモート デスクトップ ライセンスの役割がインストールされていることを確認します:
   • 役割と機能の追加 → リモート デスクトップ サービス → リモート デスクトップ ライセンス
3. サービスを開始または確認します:
   • net start "Remote Desktop Licensing"
4. サービスがリッスンしていることを確認します:
   • netstat -an | findstr LISTENING
   • RDL サービスは動的 RPC エンドポイントを登録します。RPC エンドポイント マッパー ツールでポート 135 を照会してください。
5. ターゲット VM を本番ネットワークから隔離してください — PoC はデフォルトでクラッシュを引き起こします。

V. 再現手順

1. RDL サービスが公開されているターゲット Windows Server に対して PoC スクリプトを実行します:
   root@kitploit:~

   python exploit.py --target <TARGET_IP>
   

2. ターゲット上で、tlslicense.dll サービスのクラッシュまたはシステムクラッシュ（ヒープ破壊の深刻度に応じて BSOD）を監視します。
3. オーバーフローを検証するには、エクスプロイトをトリガーする前に、RDL サービスをホストしている svchost.exe にデバッガー（WinDbg）をアタッチし、アクセス違反を観察します。

VI. PoC コード

このディレクトリに含まれる付属スクリプト exploit.py は、MadLicense 攻撃の再現コードです。RPC over TCP を介してターゲットの RDL サービスに接続し、サイズが過大なバイナリブロブを含む不正な形式のライセンス要求を構築して、ヒープバッファオーバーフローをトリガーします。

VII. 緩和策

• パッチ: Microsoft の 2024 年 7 月の Patch Tuesday で公開された公式セキュリティ更新プログラムをインストールします（Windows のバージョンに応じて KB5040426 / KB5040430 / KB5040434 / KB5040437）。
• 回避策:
  • 不要な場合はリモート デスクトップ ライセンス サービスを無効化します:
    root@kitploit:~

    sc stop "Remote Desktop Licensing"
    sc config "Remote Desktop Licensing" start= disabled
    

  • 必要な RPC トラフィックのみを許可し、ファイアウォールで受信 RPC 動的ポート（TCP 49152–65535 / 49664–49681）をブロックします。
  • ネットワーク セグメンテーションにより、TCP/135 および RPC 動的ポートへのアクセスを制限します。

VIII. 参考情報

• Microsoft セキュリティ応答センター: CVE-2024-38077
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38077
• https://nvd.nist.gov/vuln/detail/CVE-2024-38077
• Xing (Ver) L.、Lewis Lee、Zhiniang Peng — 最初の情報開示
• https://attackerkb.com/topics/CVE-2024-38077