CVE-2019-0708：Windows RDP服务蠕虫级漏洞企业预警

0x00 漏洞背景

2019年5月14日微软官方发布安全补丁，修复了Windows远程桌面服务的远程代码执行漏洞，该漏洞影响了某些旧版本的Windows系统。

此漏洞是预身份验证且无需用户交互，这就意味着这个漏洞可以通过网络蠕虫的方式被利用。利用此漏洞的任何恶意软件都可能从被感染的计算机传播到其他易受攻击的计算机，其方式与2017年WannaCry恶意软件的传播方式类似。

经研判，360-CERT确认漏洞严重，建议相关单位、企业内部立即进行安全排查，给在漏洞影响范围内的服务器、主机及时更新安全补丁。

0x01 影响范围

• Windows 7 for 32-bit Systems Service Pack 1
• Windows 7 for x64-based Systems Service Pack 1
• Windows Server 2008 for 32-bit Systems Service Pack 2
• Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
• Windows Server 2008 for Itanium-Based Systems Service Pack 2
• Windows Server 2008 for x64-based Systems Service Pack 2
• Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
• Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1
• Windows Server 2008 R2 for x64-based Systems Service Pack 1
• Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
• Windows XP SP3 x86
• Windows XP Professional x64 Edition SP2
• Windows XP Embedded SP3 x86
• Windows Server 2003 SP2 x86
• Windows Server 2003 x64 Edition SP2
• Windows 8 和Windows 10 及之后版本的用户不受此漏洞影响。

0x02 漏洞检测

首先检查系统版本是否处于受到漏洞影响的版本：

若当前系统版本是处于漏洞影响范围的版本的话，则在cmd中输入以下命令检查当前系统是否已经安装了最新的补丁：

wmic qfe list|findstr "4499164 4499175 4499149 4499180 4500705"

如果未安装补丁则会出现返回为空的现象：

如果已经安装补丁则会返回补丁信息：

0x03 修复建议

3.1 安装官方补丁

微软官方已经发布更新补丁（包括Windows XP等停止维护的版本），请用户及时 进行补丁更新，获得并安装补丁的方式有三种：

• 可以使用 360安全卫士 进行一键更新。
• Microsoft Update服务：所有可以联网，且当前Windows系统是微软支持的版本，启用了自动更新的客户将会自动更新此补丁。
• 离线安装补丁，可以参考下方的“官方补丁下载链接”。

离线安装补丁的详细步骤：

1. 在“官方补丁下载链接中”找到当前受漏洞影响版本的补丁，下载该补丁。
2. 双击下载的补丁并安装：

3. 输入下方的命令检测补丁是否安装成功：

• wmic qfe list|findstr “4499164 4499175 4499149 4499180 4500705”
• 如果补丁安装成功将返回安装补丁的信息：
• 

3.2 临时解决方案

• 若用户不需要用到远程桌面服务，建议禁用该服务：

• 开启系统防火墙或IP安全策略限制来源IP，即只允许指定IP访问。
• 启用网络级认证（NLA），此方案使适用于Windows 7, Windows Server 2008, and Windows Server 2008 R2：

0x04 官方补丁下载链接

0x05 时间线

2019-05-14 微软官方发布安全公告

2019-05-15 360CERT发布预警

0x06 参考链接

4. https://blogs.technet.microsoft.com/msrc/2019/05/14/prevent-a-worm-by-updating-remote-desktop-services-cve-2019-0708/
5. https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0708