CVE-2019-0708

はじめに

マイクロソフトは5月の月例セキュリティ更新プログラムを公開しました。今月のPatch TuesdayリリースにはCVE-2019-0708が含まれています。これは、リモートデスクトッププロトコル（RDP）を実行している脆弱なターゲット上で、認証されていないリモート攻撃者がリモートコードを実行できる可能性がある、重大なリモートコード実行の脆弱性です。

技術的分析

この脆弱性は、RDPサービスが受信リクエストを処理する方法に存在します。攻撃者は悪意のあるリクエストをRDPサービスに送信することができ、リクエスト処理のサニタイズが不適切なため、ターゲットはリクエストに注入された悪意のあるコードを実行してしまいます。CVE-2019-0708は事前認証の脆弱性であり、ユーザーの操作は必要ありません。影響を受けるWindowsバージョンは、Windows XP、Windows 7、Windows Server 2003、Windows Server 2008です。

以下に、インターネットに公開されているRDPサーバーの数を示します。

なんと、インターネットに公開されているRDPは約400万台あり、それらはあらゆる0day RCEやブルートフォース攻撃に対して公開されています。では、そのうちCVE-2019-0708に対して現在脆弱なWindows 7を実行しているものはいくつあるでしょうか？ Shodanによると、Windows 7を実行していると特定されたRDPは潜在的に12,508台あります。Windows XPでインターネットに公開されたRDPサーバーを実行するほど愚かな人はいないと思うでしょう？ それは間違いです。Shodanは、Windows XPを実行しているRDPを2,403台以上特定しています... RIP。

ほとんど忘れるところでしたが、この深刻なバグは1年間0dayのままであり、ダークネットで50万ドルで販売されていました。詳細は次のリンクで確認できます：

https://habr.com/en/company/jetinfosystems/blog/451852/

PoC

おそらくこのリポジトリを訪れるほとんどすべての人がPoCを見つけることを切望している、有名な部分です。さて、今のところ私が提供できるのは次のものだけです：

技術的分析を探し続ければ、独自のPoCを構築するために必要な詳細が見つかるかもしれません。そしてお願いです。二つ目のWannaCryワームは必要ありません。バグ報奨金プログラムに参加して、サイバースペースをより安全にすることに貢献してください。

解決策

このCVEの影響を受けるOSのいずれかを実行している場合は、マイクロソフトから2019年5月の完全なセキュリティ更新プログラムを適用する必要があります。このCVEにパッチを適用する更新プログラムは以下のとおりです：

https://www.catalog.update.microsoft.com/Search.aspx?q=KB4499175