CVE-2024-38077: Windows リモート デスクトップ ライセンス サービスのリモート コード実行（"MadLicense"）

I. 脆弱性の概要

• CVE ID: CVE-2024-38077
• 別名: MadLicense
• CVSS スコア: 9.8（緊急）
• 種別: ヒープベースのバッファオーバーフロー（CWE-122）
• 発見者: Ver、Lewis Lee、Zhiniang Peng
• 説明: Windows リモート デスクトップ ライセンス（RDL）サービスにおける、事前認証不要・ゼロクリックのリモート コード実行の脆弱性です。認証されていない攻撃者が、mstlsap.dll / tlslicense.dll によって公開されている RPC over TCP エンドポイントに細工した RPC パケットを送信すると、ヒープバッファオーバーフローが発生し、SYSTEM 権限での任意のコード実行につながる可能性があります。

II. 技術的詳細

リモート デスクトップ ライセンス サービスは、TCP ポート 135（RPC エンドポイント マッパー）経由で到達可能な RPC 動的エンドポイント（通常はポート 49664–49681）をリッスンします。この脆弱性は、ライセンス サービスのヒープメモリ管理における LicensingSendResponse または関連する RPC インターフェイス ハンドラに存在します。サイズが過大または不正な形式の LicensingBinary 構造体を含む特別に細工されたライセンス プロトコル要求を送信すると、サービスはサイズが不十分なヒープバッファに対して安全でない memcpy を実行し、隣接するヒープメタデータを破壊してコード実行を可能にします。

主な特徴:

• 事前認証不要: 有効な資格情報や RDP セッションは不要。
• 0クリック: ターゲット上でのユーザー操作は不要。
• ネットワーク経由: ネットワークを介してリモートから悪用される。
• 影響: ターゲットの Windows Server が完全に SYSTEM レベルで侵害される。

III. 影響を受けるバージョン

以前のバージョン（Windows 2000 Server、Server 2003、Server 2008）でも、RDL サービスが有効な場合は影響を受ける可能性があります。

IV. 環境構築

1. サポートされている Windows Server バージョン（2008–2025）を仮想マシンにインストールします。
2. サーバー マネージャーでリモート デスクトップ ライセンスの役割がインストールされていることを確認します:
   • 役割と機能の追加 → リモート デスクトップ サービス → リモート デスクトップ ライセンス
3. サービスを開始または確認します:
   • net start "Remote Desktop Licensing"
4. サービスがリッスンしていることを確認します:
   • netstat -an | findstr LISTENING
   • RDL サービスは動的 RPC エンドポイントを登録します。RPC エンドポイント マッパー ツールでポート 135 を照会してください。
5. ターゲット VM を本番ネットワークから隔離してください — PoC はデフォルトでクラッシュを引き起こします。

V. 再現手順

1. RDL サービスが公開されているターゲット Windows Server に対して PoC スクリプトを実行します:
   root@kitploit:~

   python exploit.py --target <TARGET_IP>
   

2. ターゲット上で、tlslicense.dll サービスのクラッシュまたはシステムクラッシュ（ヒープ破壊の深刻度に応じて BSOD）を監視します。
3. オーバーフローを検証するには、エクスプロイトをトリガーする前に、RDL サービスをホストしている svchost.exe にデバッガー（WinDbg）をアタッチし、アクセス違反を観察します。

VI. PoC コード

このディレクトリに含まれる付属スクリプト exploit.py は、MadLicense 攻撃の再現コードです。RPC over TCP を介してターゲットの RDL サービスに接続し、サイズが過大なバイナリブロブを含む不正な形式のライセンス要求を構築して、ヒープバッファオーバーフローをトリガーします。

VII. 緩和策

• パッチ: Microsoft の 2024 年 7 月の Patch Tuesday で公開された公式セキュリティ更新プログラムをインストールします（Windows のバージョンに応じて KB5040426 / KB5040430 / KB5040434 / KB5040437）。
• 回避策:
  • 不要な場合はリモート デスクトップ ライセンス サービスを無効化します:
    root@kitploit:~

    sc stop "Remote Desktop Licensing"
    sc config "Remote Desktop Licensing" start= disabled
    

  • 必要な RPC トラフィックのみを許可し、ファイアウォールで受信 RPC 動的ポート（TCP 49152–65535 / 49664–49681）をブロックします。
  • ネットワーク セグメンテーションにより、TCP/135 および RPC 動的ポートへのアクセスを制限します。

VIII. 参考情報

• Microsoft セキュリティ応答センター: CVE-2024-38077
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38077
• https://nvd.nist.gov/vuln/detail/CVE-2024-38077
• Xing (Ver) L.、Lewis Lee、Zhiniang Peng — 最初の情報開示
• https://attackerkb.com/topics/CVE-2024-38077