漏洞响应（CVE-2024-38063）

漏洞响应

CVE-2024-38063(Windows TCP/IP 远程执行代码漏洞) 漏洞详情

撰写日期: 2024-08-14

需知: 本情报本着准确、真实的原则进行了信息收集和复现，但仍不100%准确，详细信息请参考文末参考链接原文，本文仅供参考

简介

• • CVE-2024-38063是影响 Windows TCP/IP 的严重 RCE 漏洞。它的 CVSSv3 评分为 9.8，被评为“更有可能被利用”。攻击者可以通过向主机发送特制的 IPv6 数据包来远程利用此漏洞。微软的缓解建议建议禁用 IPv6，因为只有 IPv6 数据包才可以被滥用来利用此漏洞。微软已经为所有受支持的 Windows 和 Windows Server 版本（包括 Server Core 安装）发布了补丁。未经身份验证的攻击者可以向 Windows 计算机反复发送包含特制数据包的 IPv6 数据包，从而可以实现远程代码执行。
• • 原文:CVE-2024-38063 is a critical RCE vulnerability affecting Windows TCP/IP. It received a CVSSv3 score of 9.8 and is rated as “Exploitation More Likely.” An attacker could remotely exploit this vulnerability by sending specially crafted IPv6 packets to a host. Microsoft’s mitigation suggestions suggest disabling IPv6 as only IPv6 packets can be abused to exploit this vulnerability. Microsoft has released patches for all supported versions of Windows and Windows Server, including Server Core installations.

受影响组件

本漏洞影响以下Microsoft产品：

• • Windows 10 Version 1809 (10.0.0 到 10.0.17763.6189)
• • Windows Server 2019 (10.0.0 到 10.0.17763.6189)
• • Windows Server 2019 (Server Core installation) (10.0.0 到 10.0.17763.6189)
• • Windows Server 2022 (10.0.0 到 10.0.20348.2655)
• • Windows 11 version 21H2 (10.0.0 到 10.0.22000.3147)
• • Windows 10 Version 21H2 (10.0.0 到 10.0.19044.4780)
• • Windows 11 version 22H2 (10.0.0 到 10.0.22621.4037)
• • Windows 10 Version 22H2 (10.0.0 到 10.0.19045.4780)
• • Windows 11 version 22H3 (10.0.0 到 10.0.22631.4037)
• • Windows 11 Version 23H2 (10.0.0 到 10.0.22631.4037)
• • Windows Server 2022, 23H2 Edition (Server Core installation) (10.0.0 到 10.0.25398.1085)
• • Windows 10 Version 1507 (10.0.0 到 10.0.10240.20751)
• • Windows 10 Version 1607 (10.0.0 到 10.0.14393.7259)
• • Windows Server 2016 (10.0.0 到 10.0.14393.7259)
• • Windows Server 2008 SP2 (6.0.0 到 6.0.6003.22825)
• • Windows Server 2008 R2 SP1 (6.1.0 到 6.1.7601.27277)
• • Windows Server 2012 (6.2.0 到 6.2.9200.25031)
• • Windows Server 2012 R2 (6.3.0 到 6.3.9600.22134)
• • Windows 11 Version 24H2 (10.0.0 到 10.0.26100.1457)

修复建议

• • 缓解措施：禁用目标计算机上的IPv6

复现

• • 截至发文时间，互联网上未找到可成功复现的POC。

时间线梳理

• • 2024-08-13 微软更新了一批补丁，其中包括CVE-2024-38063漏洞

受影响组件详情

• • tcpip.sys 是 Windows 操作系统中至关重要的核心驱动程序，负责实现 TCP/IP 协议栈，并处理所有与网络相关的任务。 该驱动的Ipv6pReceiveFragment方法中存在一个越界写漏洞，攻击者成功利用该漏洞可以导致服务器蓝屏，甚至可以造成远程代码执行。

一线分析

• • 以下内容含有一线人员的情况分析和主观理解，相较于官方发布的文章可信度较低，但也较能反映国内安全服务甲方的真实环境和常见一线问题，请自行甄别。
  • • 无需用户交互，这是一个“0click”漏洞。
  • • 只有 IPv6 数据包才可以被滥用来利用此漏洞。

受影响组件互联网暴露规模

• • 截至发文时间 通过fofa资产策会引擎测绘，存在5,000,000台以上主机受此漏洞影响（版本匹配）

详细信息

• • 漏洞编号: CVE-2024-38063
• • 参考链接:
  • • https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38063
  • • https://www.cve.org/CVERecord?id=CVE-2024-38063
  • • https://www.tenable.com/blog/microsofts-august-2024-patch-tuesday-addresses-88-cves

原文始发于微信公众号（中龙 红客突击队）：漏洞响应（CVE-2024-38063）