Skip to content
KitploitKITPLOIT
ИнструментыБлог
Log in
Отправить
ИнструментыБлог
Отправить

Инструменты для хакинга, пентеста и кибербезопасности — ваш арсенал защиты!

Kitploit — это каталог инструментов для хакинга, кибербезопасности и пентестинга. Находите последние обновления проектов для поиска уязвимостей, анализа систем, автоматизации тестирования и усиления вашей безопасности.

ЛентыКонтактыКонфиденциальность© 2026 Kitploit

Каталог инструментов

Категории

Все категории
Loading categories
cve-2024-38077-madlicense_reproduction — Воспроизведение CVE: cve-2024-38077-madlicense_reproduction | Kitploit
Инструменты/GitHubGitHub/razureink/cve-2024-38077-madlicense_reproduction
Анализ уязвимостейЭксплуатацияТестирование на ПроникновениеИнструмент Удаленного ДоступаЭксплуатация Бинарных Файлов
GitHubrazureink/cve-2024-38077-madlicense_reproduction

cve-2024-38077-madlicense_reproduction

Воспроизведение CVE: cve-2024-38077-madlicense_reproduction

Репозиторий
182 месяцев назадЕщё не проверено

Популярное

Смотреть все →

Откройте для себя самые используемые инструменты нашего сообщества.

Изучить все инструменты

Просмотрите нашу коллекцию инструментов

Смотреть все инструменты →
Поделиться

CVE-2024-38077: Удалённое выполнение кода в службе лицензирования удалённого рабочего стола Windows ("MadLicense")

I. Обзор уязвимости

  • CVE ID: CVE-2024-38077
  • Псевдоним: MadLicense
  • Оценка CVSS: 9.8 (критическая)
  • Тип: Переполнение буфера в куче (CWE-122)
  • Обнаружена: Ver, Lewis Lee, Zhiniang Peng
  • Описание: Предварительно неаутентифицированная уязвимость удалённого выполнения кода без взаимодействия с пользователем (zero-click) в службе лицензирования удалённого рабочего стола Windows (RDL). Неаутентифицированный злоумышленник может отправить специально сформированный RPC-пакет на конечную точку RPC over TCP, предоставляемую mstlsap.dll / tlslicense.dll, что вызывает переполнение буфера в куче и приводит к произвольному выполнению кода с правами SYSTEM.

II. Технические подробности

Служба лицензирования удалённого рабочего стола прослушивает динамические конечные точки RPC (обычно порты 49664–49681), доступные через TCP-порт 135 (RPC Endpoint Mapper). Уязвимость находится в обработчике интерфейса RPC LicensingSendResponse или связанном с ним внутри управления памятью кучи службы лицензирования. Отправляя специально сформированный запрос протокола лицензирования с чрезмерно большой или повреждённой структурой LicensingBinary, служба выполняет небезопасный memcpy в буфер кучи недостаточного размера, повреждая соседние метаданные кучи и обеспечивая выполнение кода.

Ключевые аспекты:

  • Без аутентификации: не требуются действительные учётные данные или сеанс RDP.
  • 0-click: не требуется взаимодействие с пользователем на целевой системе.
  • Сетевой вектор: эксплуатируется удалённо через сеть.
  • Воздействие: полный доступ к целевой системе Windows Server на уровне SYSTEM.

III. Затронутые версии

ПродуктВоздействие
Windows Server 2008 R2 (все выпуски)RCE
Windows Server 2012 / 2012 R2RCE
Windows Server 2016RCE
Windows Server 2019RCE
Windows Server 2022RCE
Windows Server 2025RCE

Более ранние версии (Windows 2000 Server, Server 2003, Server 2008) также могут быть затронуты, если служба RDL включена.

IV. Настройка окружения

  1. Установите поддерживаемую версию Windows Server (2008–2025) на виртуальную машину.
  2. Убедитесь, что роль службы лицензирования удалённого рабочего стола установлена через диспетчер сервера:
    • Добавление ролей и компонентов → Службы удалённых рабочих столов → Лицензирование удалённого рабочего стола
  3. Запустите или проверьте службу:
    • net start "Remote Desktop Licensing"
  4. Подтвердите, что служба прослушивает порт:
    • netstat -an | findstr LISTENING
    • Служба RDL регистрирует динамические конечные точки RPC. Запросите порт 135 с помощью инструмента сопоставления конечных точек RPC.
  5. Изолируйте целевую виртуальную машину от производственных сетей — PoC по умолчанию вызовет сбой.

V. Шаги воспроизведения

  1. Запустите PoC-скрипт против целевого Windows Server с открытой службой RDL: 
    python exploit.py --target <TARGET_IP>
  2. На целевой системе следите за сбоем службы tlslicense.dll или сбоем системы (BSOD в зависимости от серьёзности повреждения кучи).
  3. Чтобы проверить переполнение, прикрепите отладчик (WinDbg) к процессу svchost.exe, размещающему службу RDL, перед запуском эксплойта и наблюдайте за нарушением прав доступа.

VI. Код PoC

Прилагаемый скрипт exploit.py в этом каталоге содержит воспроизведение атаки MadLicense. Он подключается к целевой службе RDL через RPC over TCP, формирует повреждённый запрос лицензирования с чрезмерно большим двоичным блоком и запускает переполнение буфера в куче.

VII. Смягчение последствий

  • Патч: установите официальное обновление безопасности из июльского вторника исправлений Microsoft 2024 года (KB5040426 / KB5040430 / KB5040434 / KB5040437 в зависимости от версии Windows).
  • Обходное решение:
    • Отключите службу лицензирования удалённого рабочего стола, если она не требуется: 
      sc stop "Remote Desktop Licensing"
sc config "Remote Desktop Licensing" start= disabled
    • Заблокируйте входящие динамические порты RPC (TCP 49152–65535 / 49664–49681) на межсетевом экране, разрешая только необходимый RPC-трафик.
    • Ограничьте доступ к TCP/135 и динамическим портам RPC с помощью сегментации сети.

VIII. Ссылки

  • Центр безопасности Microsoft (Microsoft Security Response Center): CVE-2024-38077
  • https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38077
  • https://nvd.nist.gov/vuln/detail/CVE-2024-38077
  • Xing (Ver) L., Lewis Lee, Zhiniang Peng — первоначальное раскрытие
  • https://attackerkb.com/topics/CVE-2024-38077
Скачать инструмент