CVE-2024-38077: Windows 远程桌面许可服务远程代码执行漏洞（"MadLicense"）

I. 漏洞概述

CVE ID: CVE-2024-38077
别名: MadLicense
CVSS 评分: 9.8（严重）
类型: 堆缓冲区溢出（CWE-122）
发现者: Ver, Lewis Lee, 彭志宁
描述: Windows 远程桌面许可（RDL）服务中存在一个无需认证、零点击的远程代码执行漏洞。未认证的攻击者可以向 mstlsap.dll / tlslicense.dll 暴露的 RPC over TCP 端点发送特制的 RPC 数据包，触发堆缓冲区溢出，从而以 SYSTEM 权限执行任意代码。

II. 技术细节

远程桌面许可服务监听在 RPC 动态端点上（通常端口为 49664–49681），可通过 TCP 端口 135（RPC 端点映射器）访问。该漏洞位于许可服务堆内存管理中的 LicensingSendResponse 或相关 RPC 接口处理函数。通过发送一个包含超大或畸形 LicensingBinary 结构的特制许可协议请求，服务会执行不安全的 memcpy 操作，将数据复制到大小不足的堆缓冲区，从而破坏相邻堆元数据并实现代码执行。

关键要点：

无需认证: 无需有效凭据或 RDP 会话。
零点击: 目标无需用户交互。
网络向量: 可通过网络远程利用。
影响: 完全获取目标 Windows Server 的 SYSTEM 级别控制权。

III. 受影响版本

产品	影响
Windows Server 2008 R2（所有版本）	RCE
Windows Server 2012 / 2012 R2	RCE
Windows Server 2016	RCE
Windows Server 2019	RCE
Windows Server 2022	RCE
Windows Server 2025	RCE

早期版本（Windows 2000 Server、Server 2003、Server 2008）如果在启用了 RDL 服务的情况下也可能受影响。

IV. 环境搭建

在虚拟机中安装受支持的 Windows Server 版本（2008–2025）。
通过服务器管理器安装远程桌面许可角色：
- 添加角色和功能 → 远程桌面服务 → 远程桌面许可
启动/验证服务：
- net start "Remote Desktop Licensing"
确认服务正在监听：
- netstat -an | findstr LISTENING
- RDL 服务会注册动态 RPC 端点。使用 RPC 端点映射工具查询端口 135。
将目标虚拟机与生产网络隔离 —— 默认情况下 PoC 会触发崩溃。

V. 复现步骤

对暴露了 RDL 服务的目标 Windows Server 运行 PoC 脚本：
```
python exploit.py --target <TARGET_IP>
```
在目标上监控 tlslicense.dll 服务的崩溃或系统崩溃（根据堆破坏严重程度可能出现蓝屏）。
要验证溢出，在触发漏洞前将调试器（WinDbg）附加到托管 RDL 服务的 svchost.exe 进程，并观察访问冲突。

VI. PoC 代码

本目录中的 exploit.py 脚本包含 MadLicense 攻击的复现。它通过 RPC over TCP 连接到目标 RDL 服务，构造一个包含超大二进制块的畸形许可请求，并触发堆缓冲区溢出。

VII. 缓解措施

补丁: 安装 Microsoft 2024 年 7 月补丁星期二发布的官方安全更新（具体更新包取决于 Windows 版本：KB5040426 / KB5040430 / KB5040434 / KB5040437）。
临时解决方案:
- 如果不需要，禁用远程桌面许可服务：
```
sc stop "Remote Desktop Licensing"
sc config "Remote Desktop Licensing" start= disabled
```
- 在防火墙中阻止入站 RPC 动态端口（TCP 49152–65535 / 49664–49681），仅允许必要的 RPC 流量。
- 通过网络分段限制对 TCP/135 和 RPC 动态端口的访问。

VIII. 参考资源

Microsoft 安全响应中心：CVE-2024-38077
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38077
https://nvd.nist.gov/vuln/detail/CVE-2024-38077
Xing (Ver) L., Lewis Lee, 彭志宁——原始披露
https://attackerkb.com/topics/CVE-2024-38077

cve-2024-38077-madlicense_reproduction

最受欢迎