Akamai 对 2024 年 12 月 Patch Tuesday 的看法

Windows 远程桌面用于通过远程桌面协议 (RDP) 在 Windows 计算机之间建立远程桌面连接。本月有多个与 Windows 远程桌面不同组件相关的漏洞，我们将一并讨论。

当然，主要的漏洞是远程桌面服务器上的 9 个严重 RCE 漏洞。攻击者“仅”需连接到 RDP 服务器，向其发送畸形数据包，并赢得争用条件，即可利用该条件实现 RCE。

由于 RDP 在网络中十分常见，并且可以用于横向移动，我们建议制定覆盖它的策略规则。根据我们的观察，96% 的网络具有 Windows RDP 流量，并且 20% 的网络对其中的部分流量没有任何限制。令人欣慰的是，尽管这些 CVE 被认为会影响所有 Windows 远程桌面服务，但其中大多数 CVE 都专门针对用作远程桌面网关的服务器。远程桌面网关不太常见，据我们的观察，仅有 36% 的环境有此类网关。

Microsoft 消息队列 (MSMQ) 服务是 Windows 中的一项可选功能，用于在不同的应用程序之间传递消息。尽管该服务是可选的，但 Windows 的许多企业应用程序背后都使用了该服务，例如 Microsoft Exchange Server。根据我们的观察，该服务安装在了将近 70% 的工作环境中，并且通常安装在不止一台机器上。

本月有两个严重的网络 RCE 漏洞，这些漏洞让攻击者可以通过向受害的 MSMQ 服务器发送特制的数据包来远程执行代码，而无需进行任何身份验证。还有另一个 DoS 漏洞。

由于 MSMQ 服务可通过端口 1801 进行访问，但通常不会被很多客户端访问（大多数情况下都是由企业应用程序本身使用），因此我们建议限制对该端口和服务的任意网络访问权限。请尝试使用允许列表策略对服务进行分段，同时仅将访问权限授予真正需要访问该服务的机器。您可以参阅我们的分段博文，尤其是其中的应用程序隔离和微分段部分，以获取更多信息。

本地安全机构子系统服务 (LSASS) 是 Windows 操作系统的一项核心进程。它以用户模式运行，但作为一项受保护的进程，它还负责处理访问和安全事务，即用户登录、密码验证和安全令牌管理。

攻击者和红队使用的一种常见手段是转储进程的内存，以获取其中存储的用户密码。Microsoft 采取了阻止措施，向该进程中增加了更多的安全机制，例如使其成为受保护进程，并且最近还使用 Hyper-V 将其与普通用户模式隔离。这非常重要。

作为负责登录的进程，它还始终在侦听一些网络组件，即以 RPC 服务器的形式进行侦听。本月的严重 RCE 是 CVE-2024-49126，它与以下组件之一相关：竞争条件可以让远程攻击者无须经过身份验证即可在进程上执行任意代码。

在本月的 Patch Tuesday 中，许多 CVE 针对的是我们过去已经介绍过的系统。如果您对我们就这些服务的分析或常规建议感兴趣，建议您了解我们之前发布的对 Patch Tuesday 的看法博文。

这篇综述概括了我们目前的理解和我们根据现有信息提出的建议。我们的审查还在持续进行中，本文的任何信息都可能发生更改。您还可以关注我们的微信公众号，了解更多实时动态。