DIVD-2020-00003 - Microsoft RDP Gateway vulnerable for Bluegate RCE

English below

Update 3-9-2020 21:12 Case Closed

Gezien de kleine hoeveelheid IP adressen die nog kwetsbaar zijn gaan we deze case afsluiten.

Update 3-2-2020 11:40

Op 3-2 hebben we opnieuw meldingen verstuurd over kwetsbare systemen. Wij hebben nog 281 kwetsbare systemen geidentificeerd.

Samenvatting

In onze scans zijn er ruim 16.000 kwetsbare Microsoft RDP Gateway servers online gevonden, 1.137 van deze systemen staan in Nederland.

Inmiddels is er een Proof of Concept van de exploit uit, waarbij een aanvaller in staat is een systeem over te nemen.

Er is een grote waarschijnlijkheid dat de kwetsbaarheid misbruikt gaat worden door kwaadwillenden.

Wat kunt u doen?

We raden iedereen aan de volgende overweging te maken:

• Voer de patches van Microsoft Patch Tuesday van januari 2020 uit
• Hoewel in de beschrijving staat dat de patch geen reboot vereist, raden wij aan het systeem, of op zijn minst de Windows service, te herstarten.
• Indien patches niet uitgevoerd kunnen worden, plaats de server niet direct aan het internet en gebruik bijvoorbeeld een VPN (creëer Defence In Depth)

Wat doen wij?

Wij zijn op dit moment bezig de lijst met kwetsbare systemen te verwerken en gaan daarna proberen alle partijen in te lichten.

Timeline

English

Update 9-3-2020 21:12

Considering the low amount of vulnerable IP addresses coming from our scans, we deciced to close this case.

Update 3-2-2020 11:40

On 3-2 we sent new notifications for hosts that are still vulnerable, 281 hosts left.

Summary

Scans showed 16.000 vulnerable systems online, 1.137 of these systems are Dutch.

Since a POC video has been released we are assuming others with bad intentions are able to reproduce the POC as well.

There is a high chance systems will be attacked shortly.

What you can do

We recommend taking these steps:

• Patch systems
• Even tought the patch release notes indicate that a reboot is not required, we advise you to restart the system or at the very least restart the Remote Desktop service.
• If patching is not possible, implement Defence in Depth, for example by adding a VPN in front of the servers.

What we are doing

We are currently processing the list of vulnerable RDP Gateway servers identified in our scan and will try to inform all affected parties.

Timeline