Vulnerabilitate de executare a codului de la distanță în serviciu Remote Desktop a Microsoft Windows

În serviciul Remote Desctop a Microsoft Windows  există o vulnerabilitate de execuție a codului de la distanță atunci când un atacator neautentificat se conectează la sistemul țintă folosind protocolul RDP și trimite cereri special concepute. Această vulnerabilitate este preautentificată și nu necesită interacțiune cu utilizatorii. Un atacator care a exploatat cu succes această vulnerabilitate ar putea executa cod arbitrar pe sistemul țintă. Un atacator ar putea apoi să instaleze programe; vizualiza, modifica sau șterge datele; să creeze conturi noi cu drepturi privelegiate.

Aceste vulnerabilități sunt cauzate de verificările incorecte a cererilor de conexiune trimise la Serviciu Remote Desctop.

Este important să rețineți că aceste vulnerabilități:
•    sunt exploatabile fără autentificare,
•    oferă atacatorului controlul complet pe computerul vulnerabil,
•    sunt „wormable” (nu este necesară interacțiunea utilizatorului pentru declanșarea atacului),
•    sunt exploatabile prin intermediul serviciului RDP, care este deschis frecvent,
•    afectează sistemele Microsoft Windows 7, 8.1, 8.1 RT, 10, Server 2008 R2, Server 2012, Server 2012 R2, Server 2016 și Server 2019.

Riscul de nivel „ridicat” al acestor vulnerabilități (exploatare ușoară, executare la distanță de cod cu privilegii maxime) crește probabilitatea apariției atacurilor.

Orange Moldova CERT recomandă să aplicaţi cât mai curând posibil patch-urile publicate de Microsoft pentru aceste vulnerabilități CVE-2019-1181 sau să dezactivaţi/filtraţi traficul de intrare pe port TCP/3389.