Служба лицензирования удалённого рабочего стола прослушивает динамические конечные точки RPC (обычно порты 49664–49681), доступные через TCP-порт 135 (RPC Endpoint Mapper). Уязвимость находится в обработчике интерфейса RPC LicensingSendResponse или связанном с ним внутри управления памятью кучи службы лицензирования. Отправляя специально сформированный запрос протокола лицензирования с чрезмерно большой или повреждённой структурой LicensingBinary, служба выполняет небезопасный memcpy в буфер кучи недостаточного размера, повреждая соседние метаданные кучи и обеспечивая выполнение кода.

Ключевые аспекты:

• Без аутентификации: не требуются действительные учётные данные или сеанс RDP.
• 0-click: не требуется взаимодействие с пользователем на целевой системе.
• Сетевой вектор: эксплуатируется удалённо через сеть.
• Воздействие: полный доступ к целевой системе Windows Server на уровне SYSTEM.

III. Затронутые версии

Более ранние версии (Windows 2000 Server, Server 2003, Server 2008) также могут быть затронуты, если служба RDL включена.

IV. Настройка окружения

1. Установите поддерживаемую версию Windows Server (2008–2025) на виртуальную машину.
2. Убедитесь, что роль службы лицензирования удалённого рабочего стола установлена через диспетчер сервера:
   • Добавление ролей и компонентов → Службы удалённых рабочих столов → Лицензирование удалённого рабочего стола
3. Запустите или проверьте службу:
   • net start "Remote Desktop Licensing"
4. Подтвердите, что служба прослушивает порт:
   • netstat -an | findstr LISTENING
   • Служба RDL регистрирует динамические конечные точки RPC. Запросите порт 135 с помощью инструмента сопоставления конечных точек RPC.
5. Изолируйте целевую виртуальную машину от производственных сетей — PoC по умолчанию вызовет сбой.

V. Шаги воспроизведения

1. Запустите PoC-скрипт против целевого Windows Server с открытой службой RDL:
   root@kitploit:~

   python exploit.py --target <TARGET_IP>
   

2. На целевой системе следите за сбоем службы tlslicense.dll или сбоем системы (BSOD в зависимости от серьёзности повреждения кучи).
3. Чтобы проверить переполнение, прикрепите отладчик (WinDbg) к процессу svchost.exe, размещающему службу RDL, перед запуском эксплойта и наблюдайте за нарушением прав доступа.

VI. Код PoC

Прилагаемый скрипт exploit.py в этом каталоге содержит воспроизведение атаки MadLicense. Он подключается к целевой службе RDL через RPC over TCP, формирует повреждённый запрос лицензирования с чрезмерно большим двоичным блоком и запускает переполнение буфера в куче.

VII. Смягчение последствий

• Патч: установите официальное обновление безопасности из июльского вторника исправлений Microsoft 2024 года (KB5040426 / KB5040430 / KB5040434 / KB5040437 в зависимости от версии Windows).
• Обходное решение:
  • Отключите службу лицензирования удалённого рабочего стола, если она не требуется:
    root@kitploit:~

    sc stop "Remote Desktop Licensing"
    sc config "Remote Desktop Licensing" start= disabled
    

  • Заблокируйте входящие динамические порты RPC (TCP 49152–65535 / 49664–49681) на межсетевом экране, разрешая только необходимый RPC-трафик.
  • Ограничьте доступ к TCP/135 и динамическим портам RPC с помощью сегментации сети.

VIII. Ссылки

• Центр безопасности Microsoft (Microsoft Security Response Center): CVE-2024-38077
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38077
• https://nvd.nist.gov/vuln/detail/CVE-2024-38077
• Xing (Ver) L., Lewis Lee, Zhiniang Peng — первоначальное раскрытие
• https://attackerkb.com/topics/CVE-2024-38077