CVE-2019-0708

비인증 CVE-2019-0708 "BlueKeep" 스캐너 PoC (제작: @JaGoTu, @zerosum0x0).

Metasploit 모듈 PR: https://github.com/rapid7/metasploit-framework/pull/11869

이 저장소의 내용

호스트가 CVE-2019-0708 Microsoft Windows 원격 데스크톱 서비스 원격 코드 실행 취약점에 취약한지 감지할 수 있는 rdesktop의 스캐너 포크입니다. 서비스 거부를 유발해서는 안 되지만, 수년간의 모든 취약한 RDP 스택 버전에 대해 100% 보장은 없습니다. 비인증 상태이므로 이 스캐너는 NLA 호스트(확인된 완화 조치)에 대해서는 신뢰할 수 있는 결과를 제공하지 못합니다.

또한 Metasploit 모듈도 있으며, 현재 작업 진행 중입니다 (MSF에는 RDP 라이브러리가 없습니다).

빌드 및 실행

저장소에 미리 빌드된 rdesktop 바이너리가 있지만, 일반적인 rdesktop 빌드 과정은 다음과 같습니다:

git clone https://github.com/zerosum0x0/CVE-2019-0708.git
cd CVE-2019-0708/rdesktop-fork-bd6aa6acddf0ba640a49834807872f4cc0d0a773/
./bootstrap
./configure --disable-credssp --disable-smartcard
make
./rdesktop 192.168.1.7:3389

이 rdesktop 포크는 X11 GUI Linux 환경에서만 제대로 지원됩니다. 다른 플랫폼에서는 결과가 다를 수 있습니다. 일반적인 rdesktop 컴파일 지침을 참조하거나 Docker 이미지가 어떻게 빌드되는지 확인하세요.

Dockerfile을 사용하여 소스에서 빌드한 다음 해당 이미지로 rdesktop을 실행할 수도 있습니다:

docker build . -t cve-2019-0708:latest
docker run cve-2019-0708:latest 192.168.1.7:3389

위험한가요?

이 취약점에 대한 일부 세부 정보는 이미 대중에게 알려지기 시작했습니다. 이 도구는 공격자에게 이론적 RCE에 대한 손쉬운 접근을 제공하지 않습니다.

이 PoC를 수정하여 서비스 거부를 유발하면 진입 장벽이 낮아지기는 하지만, 어느 정도의 노력도 필요합니다. 현재 우리는 이 스캐너가 테스트에서 정확해 보이고 논리적인 경로를 따른다는 것 외에는 작동 방식에 대한 설명을 제공하지 않습니다.

시스템 관리자는 취약한 호스트를 발견하기 위해 이와 같은 도구가 필요합니다. 이 도구는 합법적인 목적으로만 제공되며, 보안 커뮤니티가 이 취약점에 대한 이해를 높이는 데 기여하기 위해 제공됩니다. 이 PoC는 취약점을 적극적으로 악용하므로 사전 허가 없이 대상을 상대로 사용하지 마십시오.

라이선스

rdesktop 포크는 GPLv3로 라이선스가 부여됩니다. Metasploit 모듈은 Apache 2.0으로 라이선스가 부여됩니다. 참조: https://github.com/zerosum0x0/CVE-2019-0708