CMU軟件工程所安全研究人員Joe Tammariello發現Windows遠程桌面特征需要客戶端使用Network Level Authentication (NLA，網絡級認證)認證過程中存在缺陷。NLA將遠程會話的認證從RDP層轉移到網絡層。微軟建議使用NLA來減少使用RDP協議導致系統暴露的攻擊面。因為Windows會話可以被鎖定，只有當用戶經過認證之后才可以繼續會話?；赗DP的session鎖定與本地session鎖定的方式是相同的。這個新的認證繞過漏洞CVE編號為CVE-2019-9510。

影響的Windows版本包括Windows 10 1803、Server 2019及更新的操作系統版本。

攻擊場景

在客戶端已經連接到服務器而且鎖屏的情況下，如果網絡異常觸發了臨時的RDP斷開，無論遠程系統的狀態，重新連接RDP會話都會恢復到unlocked狀態。

CERT/CC漏洞分析師Will Dormann描述的攻擊場景如下：

· 用戶使用連接到遠程的Windows主機；

· 用戶鎖定遠程桌面會話；

· 用戶離開RDP客戶端所在的系統。

然后攻擊者可以切斷RDP客戶端的網絡連接，這樣會使用客戶端自動重連并繞過Windows鎖屏。這樣本地攻擊者就可以獲取未鎖定計算機的訪問權限。切斷系統的網絡連接后，攻擊者如果擁有RDP客戶端系統的訪問權限也就擁有連接的遠程系統的訪問權限，無論遠程系統是否鎖定。即使使用了雙因子認證，攻擊者也可以繞過Windows機器的鎖屏。研究人員其他使用了多因子認證的Windows登陸屏幕也會受到影響。

需要說明的是該漏洞與使用RDP時的Windows鎖屏行為有關，如果沒有多因子認證，那么漏洞也是會存在的。

建議

保護對RDP客戶端系統的訪問

對于被用作RDP客戶端的系統，要確保鎖定本地系統而不是遠程系統。通過限制對客戶端系統的訪問就可以保護在線RDP會話。鎖定基于RDP的遠程系統并不會提供什么幫助。

斷開RDP會話而不是鎖定

因為鎖定RDP會話并不能提供什么有效的保護，因此應該斷開RDP會話。這會使當前會話無效，防止攻擊者在沒有憑證的情況下自動重連RDP會話。

責任編輯：韓希宇