CVE-2019-0708

소개

마이크로소프트는 5월 월간 보안 업데이트를 발표했습니다. 이번 달 Patch Tuesday 릴리스에는 CVE-2019-0708이 포함되어 있는데, 이는 인증되지 않은 원격 공격자가 원격 데스크톱 프로토콜(RDP)을 실행하는 취약한 대상에서 원격 코드를 실행할 수 있게 하는 치명적인 원격 코드 실행 취약점입니다.

기술적 분석

이 취약점은 RDP 서비스가 들어오는 요청을 처리하는 방식에 존재합니다. 공격자는 RDP 서비스에 악성 요청을 보낼 수 있으며, 요청 처리 과정에서 입력 값이 제대로 검증되지 않기 때문에 대상 시스템은 요청에 주입된 악성 코드를 실행하게 됩니다. CVE-2019-0708은 사용자 상호작용이 필요 없는 인증 전 취약점입니다. 영향을 받는 Windows 버전은 Windows XP, Windows 7, Windows Server 2003 및 Windows Server 2008입니다.

아래에서 인터넷에 노출된 RDP 서버 수를 확인할 수 있습니다.

와, 거의 400만 개의 RDP가 인터넷에 노출되어 있어 어떤 0day RCE 또는 브루트포스 공격에 공개적으로 이용될 수 있습니다. 그중 현재 CVE-2019-0708에 취약한 Windows 7을 실행하는 서버는 몇 개나 될까요? Shodan에 따르면 잠재적으로 12,508개의 RDP가 Windows 7을 실행하는 것으로 식별되었습니다. 아무도 Windows XP로 인터넷에 노출된 RDP 서버를 실행할 만큼 어리석은 사람은 없을 거라고 생각하시겠죠? 틀렸습니다. Shodan은 Windows XP를 실행하는 2,403개 이상의 RDP를 식별했습니다... RIP.

거의 잊을 뻔했는데, 이 치명적인 버그는 1년 동안 0day로 남아 있었고 다크넷에서 500k에 판매되었습니다. 자세한 내용은 다음 링크에서 확인할 수 있습니다:

https://habr.com/en/company/jetinfosystems/blog/451852/