一、漏洞简介

2019年5月14日微软官方发布安全补丁，修复了Windows远程桌面服务的远程代码执行漏洞，该漏洞影响了某些旧版本的Windows系统。当未经身份验证的攻击者使用RDP连接到目标系统并发送经特殊设计的请求时，远程桌面服务（以前称为“终端服务”）中存在远程执行代码漏洞。成功利用此漏洞的攻击者可以在目标系统上执行任意代码。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。此漏洞是预身份验证且无需用户交互，这就意味着这个漏洞可以通过网络蠕虫的方式被利用。利用此漏洞的任何恶意软件都可能从被感染的计算机传播到其他易受攻击的计算机，其方式与2017年WannaCry恶意软件的传播方式类似。恶意攻击者极有可能为此漏洞编写恶意代码并将其合并到软件中。

该漏洞，威胁程度较高，攻击者可通过RDP协议向目标发送恶意构造请求，实现远程代码执行，甚至可利用此漏洞实现蠕虫式攻击。建议用户立即进行补丁更新。

二、风险等级

风险评级：高危

预警等级：红色预警（高级网络安全预警）

三、影响范围

目前受影响的版本：

Windows 7 for 32-bitSystems Service Pack 1

Windows 7 forx64-based Systems Service Pack 1

Windows Server 2008for 32-bit Systems Service Pack 2

Windows Server 2008for 32-bit Systems Service Pack 2 (Server Core installation)

Windows Server 2008for Itanium-based Systems Service Pack 2

Windows Server 2008for x64-based Systems Service Pack 2

Windows Server 2008for x64-based Systems Service Pack 2 (Server Core installation)

Windows Server 2008R2 for Itanium-based Systems Service Pack 1

Windows Server 2008R2 for x64-based Systems Service Pack 1

Windows Server 2008R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2003（已停止维护）

Windows XP（已停止维护）

Windows 8和Windows 10及之后版本的用户不受此漏洞影响。

受影响产品及版本：

Windows XP

Windows 7

Windows Server 2008

Windows Server 2003

四、安全建议

微软官方已经发布更新补丁（包括官方停止维护版本），请用户及时进行补丁更新。共有三种方式可获取最新补丁：内网WSUS服务、微软官网Microsoft Update服务、离线安装补丁。

对于已加入搭建有WSUS服务器内网活动目录域的计算机，系统会定时自动下载所需的安全补丁并提示安装，请按提示进行安装和重启系统。如果希望尽快安装补丁，请重新启动一次计算机即可。

未启用内网WSUS服务的计算机，请确保Windows自动更新启用，按照提示安装补丁并重启计算机。启用内网WSUS服务的计算机但没有与内网连接的计算机，请点击开始菜单-所有程序-Windows Update，点击“在线检查来自Windows Update的更新”，按提示进行操作。

离线安装包：

对于Windows7及Windows Server 2008的用户，安全更新地址：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0708

对于Windows2003及Windows XP的用户，安全更新地址：https://support.microsoft.com/en-us/help/4500705/customer-guidance-for-cve-2019-0708

临时处置建议：

1、 关闭远程桌面服务。

2、 在主机防火墙中对远程桌面TCP端口（默认为3389）进行阻断。

3、 启用网络级认证（NLA），此方案适用于Windows 7, Windows Server 2008, and Windows Server 2008 R2。

五、参考链接

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0708?from=timeline&isappinstalled=0

https://blogs.technet.microsoft.com/msrc/2019/05/14/prevent-a-worm-by-updating-remote-desktop-services-cve-2019-0708/