Windows RPC运行时漏洞事后总结
我要评论2022年4月前后 ，运行Windows RPC运行时被曝出存在远程代码执行漏洞 ，时漏当时曾引起很多人广泛关注 。洞事微软很快做出反应 ，后总发布补丁程序进行修补。结这次事件中 ，运行Windows远程过程调用（RPC）运行时共出现三个关键漏洞 ：CVE-2022-24492 、时漏CVE-2022-24528和CVE-2022-26809 。洞事
本文主要将介绍其中两个漏洞的后总信息，它们所产生的结影响和范围 ，以及可行的运行缓解措施。
Akamai最近还撰写了一篇有关RPC筛选器的时漏指南 ，该工具可以限制并阻止Windows计算机之间的云计算洞事RPC流量 。虽然我们还未确认RPC筛选器是后总否可以缓解本文所讨论的漏洞，但建议感兴趣的结读者阅读此文，进一步了解该工具的机制。
延伸阅读 ，了解Akamai的安全解决方案！
漏洞及其影响通过利用这些漏洞 ，未经授权的远程攻击者将能利用RPC服务特权在存在漏洞的计算机上远程执行代码 ，当然这还要取决于承载RPC运行时的建站模板进程。该漏洞可以从网络外部利用借此入侵网络，此外也可用于网络内部横向移动 。
如上表所示，CVE-2022-26809是一种“零点击”漏洞 ，无需人工介入即可利用 。因此它在通用漏洞评分系统（CVSS）中一举得到了9.8分的高分（满分10分） 。这意味着该漏洞的严重性极高 ，并且被攻击者利用的可能性极大 。
谁容易受到威胁 ？任何Windows计算机 ，只要445端口被打开且RPC运行时库未安装补丁 ，都会受到该漏洞威胁 。免费模板根据Shodan的数据 ，目前有超过70万台Windows计算机将该端口暴露在互联网上 。根据微软的介绍 。监听该TCP端口的服务器也会受到潜在威胁。
CVE中提到 ，该漏洞位于Windows RPC运行时中 ，该运行时是通过库文件rpcrt4.dll实现的 。当客户端和服务器进程利用RPC协议进行通信时 ，双方都会加载这个运行时库 。
我们对比了该文件的10.0.22000.434版（2022年3月补丁修补前）和10.0.22000.613版（2022年4月 ，高防服务器补丁修补后） ，发现有如下多个函数产生了变化 ：
其中OSF_CCALL::ProcessResponse和OSF_SCALL::ProcessReceivedPDU这两个函数引起了我们的注意 。这两个函数本质上较为相似 ，都负责处理RPC数据包 ，但一个运行在客户端，另一个运行在服务器端（CCALL和SCALL分别代表客户端和服务器端） 。我们继续研究OSF_SCALL::ProcessReceivedPDU的变更 ，并注意到新版本中增加的两个代码块 。
查看修补后的代码可以看到 ，在QUEUE::PutOnQueue之后调用了一个新函数。继续深入这个新函数并查看其代码发现 ，该函数会检查整数溢出 。服务器租用也就是说 ，新增的这个函数是为了验证整数变量是否保持在预期值范围内 。
继续深入查看OSF_SCALL:GetCoalescedBuffer中有漏洞的代码后发现 ，这个整数溢出漏洞会导致堆缓冲区溢出 ，即数据被复制到一个太小而装不下的缓冲区中 。这进而会导致数据被写入到缓冲区边界之外的堆中 。只要善加利用，这个基元就可能导致远程代码执行 。
其他几个函数页增加了类似的模板下载 ，用于检查整数溢出的调用：
OSF_CCALL::ProcessResponseOSF_SCALL::GetCoalescedBufferOSF_CCALL::GetCoalescedBuffer该整数溢出漏洞和防止此漏洞的函数同时存在于客户端和服务器端的执行流程中。
缓解措施虽然RPC使用了多种安全控制机制和措施（例如安全回调） ，但我们依然建议根据微软的说明执行下列缓解措施 ：
安装最新安全更新 ，缓解这些漏洞。虽然RPC对系统中的某些服务是必须的 ，但对企业边界范围外的设备 ，建议阻止TCP 445端口的通信。为了遏制横向移动 ，建议只对真正需要的计算机（如域控制器 、打印服务器 、文件服务器等）允许传入的TCP 445端口通信 。Akamai Guardicore Segmentation规则Akamai Guardicore Segmentation旨在保护用户防范利用这些漏洞发起的攻击。如上文所述 ，CVE-2022-26809因为完全无需人工介入即可生效 ，因此CVSS评分极高。这意味着该漏洞被利用时，用户和安全团队可能都无法察觉 。通过使用明确的访问控制机制对网络进行微分段 ，即可防止利用这些漏洞的攻击进入内部网络或在网络中横向移动 。
为了应用缓解措施 ，阻止来自网络外部的SMB流量 ，请创建如下的分段规则 ：
相关文章
小型企业缺乏预算最常见的安全事件是网络钓鱼、勒索软件和用户帐户泄露。然而，规模较小的企业通常很少拥有处理安全威胁的预算和资源。事实上，一半以上的小型企业表示，缺乏预算是他们面临的最大安全挑战。Netw2025-12-07
一、引言在当今的数字时代，网络安全已经成为各行各业的重中之重。随着网络威胁的复杂性和频率不断增加，企业和组织面临着前所未有的挑战。为了有效地保护数字资产，网络安全度量Cybersecurity Met2025-12-07
随着网络攻击手段的日益多样化和复杂化，传统基于检测的网络安全防护模式已经难以应对当前的安全威胁挑战。在此背景下，越来越多的组织开始采用网络安全风险量化，并将其作为增强组织安全风险分析和治理能力的一种有2025-12-07
CannonDesign遭受Avos Locker勒索软件攻击，1.3万名客户数据泄露
近日，美国知名建筑设计、工程和咨询公司 CannonDesign 正在向超过 1.3 万名客户发出数据泄露通知。通知中指出，2023 年初，黑客通过一次攻击侵入了公司网络并窃取了数据。CannonDe2025-12-07
你的手机广告被偷了！通过重定向广告窃取个人隐私，攻击者还能进行恶意广告攻击
不得不感叹，个人信息真是越来越不值钱了。充电插口、充电宝、公共WiFi都有可能让手机成为被攻击的对象。只是没想到如今连手机广告也“惨遭毒手”。是的，你没看错，就是这些每次刷手机的时候时不时碰出来恶2025-12-07
本周二，据以色列《环球报》报道，也门胡塞武装切断了红海入口沙特阿拉伯吉达至东非吉布提之间的的四条国际海底光缆，该消息得到了法国Cogent通讯公司销售主管的确认：被切断的四条海底光缆分别是：1.亚非欧2025-12-07
最新评论