漏洞概述
2024年12月，安全研究员Yuki Chen发现两个Windows轻量级目录访问协议（LDAP）漏洞：
- CVE-2024-49112：远程代码执行（RCE）漏洞，CVSS评分9.8
- CVE-2024-49113：拒绝服务（DoS）漏洞，CVSS评分7.5
CVE-2024-49112攻击原理
根据微软公告，未认证攻击者成功利用此漏洞可在LDAP服务上下文中执行任意代码，具体攻击方式因目标组件而异：
- 攻击域控制器：需向目标发送特制RPC调用，触发对攻击者域的查找操作
- 攻击LDAP客户端：需诱骗受害者执行域控制器查找或连接恶意LDAP服务器（未认证RPC调用无效）
CVE-2024-49113攻击机制
SafeBreach实验室发布代号为LDAPNightmare的概念验证（PoC）漏洞利用：
- 通过发送DCE/RPC请求导致LSASS（本地安全机构子系统服务）崩溃
- 攻击者发送特制无连接LDAP（CLDAP）转响应包可强制系统重启
- 同一攻击链经CLDAP包修改后可能实现CVE-2024-49112的RCE攻击
受影响版本
多个Windows版本受影响，具体列表参见：
- CVE-2024-49112：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49112
- CVE-2024-49113：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49113
防护措施
微软已通过2024年12月补丁星期二更新发布修复补丁，企业需立即部署。Trend Micro提供多层次防护规则：
-
Deep Discovery Inspector规则
5297: CVE-2024-49113 - WINDOWS LDAP DOS EXPLOIT - CLDAP(RESPONSE) -
终端与云工作负载安全规则
1012240 - Microsoft Windows Active Directory Denial of Service Vulnerability (CVE-2024-49113) for DS/V1SWP -
网络安全过滤器
45267: LDAP: Microsoft Windows Lightweight Directory Access Protocol Denial of Service Vulnerability
高级威胁防护
- 使用Trend Vision One™获取漏洞最新情报
- 利用后渗透检测与修复技术进行环境调查
- 通过威胁情报报告（如LDAPNightmare PoC专项报告）跟踪新兴威胁
通用防护最佳实践
- 补丁管理：定期更新操作系统和应用程序
- 网络分段：隔离关键网络段降低攻击影响
- 安全审计：定期进行漏洞评估和基础设施检查
- 事件响应：建立并测试安全事件应急计划
技术细节参考：Trend Micro知识库文章及Microsoft安全响应中心（MSRC）公告