SafeBreach Labs 的研究人员发布了关于 Windows 轻量级目录访问协议（LDAP）的一个关键漏洞的概念验证（PoC）和漏洞利用方法，该漏洞编号为 CVE - 2024 - 49112。微软在 2024 年 12 月 10 日的补丁星期二更新中披露了此漏洞，其 CVSS 严重性评分高达 9.8。
CVE - 2024 - 49112 属于远程代码执行（RCE）漏洞，会对包括域控制器（DC）在内的 Windows 服务器产生影响。域控制器在组织网络里是关键组成部分，负责管理身份验证和用户权限等工作。
漏洞影响
1. 让未打补丁的服务器崩溃；
2. 在 LDAP 服务环境下执行任意代码；
3. 有可能破坏整个域环境。
漏洞利用技术细节
此漏洞是由于 LDAP 相关代码中的整数溢出问题引发。未经身份验证的攻击者可通过发送特制的 RPC 调用来触发恶意的 LDAP 查询，成功利用时可能导致服务器崩溃或者进一步实现远程代码执行。
SafeBreach Labs 开发了一个名为“LDAPNightmare”的 PoC 漏洞利用工具，以此展示该漏洞的严重性。该漏洞利用按以下攻击流程可使未打补丁的 Windows 服务器崩溃：
1. 攻击者向目标服务器发送 DCE/RPC 请求；
2. 目标服务器向攻击者的 DNS 服务器查询以获取信息；
3. 攻击者回应主机名和 LDAP 端口；
4. 目标服务器发送 NBNS 广播以定位攻击者的主机名；
5. 攻击者回复其 IP 地址；
6. 目标服务器成为 LDAP 客户端，并向攻击者的机器发送 CLDAP 请求；
7. 攻击者发送恶意引用响应，致使 LSASS（本地安全机构子系统服务）崩溃并重启服务器。
SafeBreach 已经验证，微软的补丁通过解决整数溢出问题有效地缓解了该漏洞。所有未打补丁的 Windows Server 版本都会受到此漏洞影响，其中包括 Windows Server 2019 和 2022。利用该漏洞可能让攻击者控制域环境，所以这会成为勒索软件团伙和其他威胁行为者的主要目标。
建议组织马上采取以下行动：
1. 立即应用微软 2024 年 12 月的补丁；
2. 在补丁安装完成之前，监控可疑的 DNS SRV 查询、CLDAP 引用响应和 DsrGetDcNameEx2 调用；
3. 使用 SafeBreach 的 PoC 工具（可从 GitHub 获取）来测试自身环境。
参考来源：https://cybersecuritynews.com/poc-windows-ldap-rce-vulnerability/
