漏洞预警 CVE-2019-1181/CVE-2019-1182：Windows RDP服务蠕虫级漏洞预警

报告编号：B6-2019-081401

报告来源：360-CERT

报告作者：360-CERT

更新日期：2019-08-14

0x00 事件背景

2019年8月14日微软官方发布安全补丁，修复了两个Windows远程桌面服务的远程代码执行漏洞CVE-2019-1181/CVE-2019-1182，这两个漏洞影响了几乎所有目前受支持的Windows系统。此漏洞是预身份验证且无需用户交互，这就意味着这个漏洞可以通过网络蠕虫的方式被利用。利用此漏洞的任何恶意软件都可能从被感染的计算机传播到其他易受攻击的计算机，与2019年5月14日修补的远程桌面服务的远程代码执行漏洞CVE-2019-0708和2017年WannaCry恶意软件的传播方式类似。

经研判，微软确认漏洞严重等级为危急，建议用户立即进行补丁更新处理。

0x01 影响范围

Windows 10 for 32-bit Systems

Windows 10 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1703 for 32-bit Systems

Windows 10 Version 1703 for x64-based Systems

Windows 10 Version 1709 for 32-bit Systems

Windows 10 Version 1709 for 64-based Systems

Windows 10 Version 1709 for ARM64-based Systems

Windows 10 Version 1803 for 32-bit Systems

Windows 10 Version 1803 for ARM64-based Systems

Windows 10 Version 1803 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

Windows 10 Version 1809 for ARM64-based Systems

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1903 for 32-bit Systems

Windows 10 Version 1903 for ARM64-based Systems

Windows 10 Version 1903 for x64-based Systems

Windows 7 for 32-bit Systems Service Pack 1

Windows 7 for x64-based Systems Service Pack 1

Windows 8.1 for 32-bit systems

Windows 8.1 for x64-based systems

Windows RT 8.1

Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2012

Windows Server 2012 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 R2 (Server Core installation)

Windows Server 2016

Windows Server 2016 (Server Core installation)

Windows Server 2019

Windows Server 2019 (Server Core installation)

Windows Server, version 1803 (Server Core Installation)

Windows Server, version 1903 (Server Core installation)

注意：对于使用Windows 7 Service Pack 1或者Windows Server 2008 R2 Service Pack 1的用户，只有安装了RDP 8.0或RDP 8.1，这些操作系统才会受到此漏洞的影响。

0x02 缓解措施

以下缓解措施可能对您的情况有所帮助。在所有情况下，Microsoft强烈建议您尽快安装此漏洞的更新，即使您计划禁用远程桌面服务：

1.如果不需要，请禁用远程桌面服务。

如果您的系统不再需要这些服务，请考虑禁用它们作为安全性最佳实践。禁用未使用和不需要的服务有助于减少您的安全漏洞风险。

0x03 解决方法

以下解决方法可能对您的情况有所帮助。在所有情况下，Microsoft强烈建议您尽快安装此漏洞的更新，即使您计划保留这些解决方法：

1.启用网络级别身份验证（NLA）

您可以启用网络级别身份验证，以阻止未经身份验证的攻击者利用此漏洞。启用NLA后，攻击者首先需要使用目标系统上的有效帐户对远程桌面服务进行身份验证，然后才能利用此漏洞。

2.在企业外围防火墙处阻止TCP端口3389

TCP端口3389用于启动与受影响组件的连接。在网络外围防火墙处阻止此端口将有助于保护防火墙后面的系统免于尝试利用此漏洞。这有助于保护网络免受来自企业外部的攻击。阻止企业外围的受影响端口是帮助避免基于Internet的攻击的最佳防御。但是，系统仍然可能容易受到企业外围攻击。

0x04 常问问题

我正在运行Windows 7 Service Pack 1或Windows Server 2008 R2 Service Pack 1.是否有更多需要注意的信息？

如果安装了RDP 8.0或RDP 8.1，则这些操作系统仅受此漏洞的影响。如果在Windows 7 SP1或Window Server 2008 R2 SP1上没有安装这些版本的RDP，则不受此漏洞的影响。

0x05 参考链接