DIVD-2020-00003 - Microsoft RDP Gateway vulnerable for Bluegate RCE
English below| Our reference | DIVD-2020-00003 |
| Case lead | Barry van Kampen |
| CVE(s) | CVE-2020-0609 CVE-2020-0610 |
| Products | Microsoft Windows Server 2012, 2012R2, 2016 and 2019 with Remote Desktop Gateway |
| Versions | N/A |
| Patches | Patch Tuesday 2020-01, CVE-2020-0609 and CVE-2020-0610 |
| Workaround | Superceeded by patch |
| Recommendation | Apply patches of Patch Tuesday January 2020 NOW! |
Update 3-2-2020 11:40
Laatste update / Last Update
Op 3-2 hebben we opnieuw meldingen verstuurd over kwetsbare systemen. Wij hebben nog 281 kwetsbare systemen geidentificeerd.

Samenvatting
In onze scan’s zijn er ruim 16 duizend kwetsbare Microsoft RDP Gateway servers online gevonden, 1137 van deze systemen komen uit Nederland.
Inmiddels is er een Proof Of Concept van de exploit uit waarbij een aanvaller in staat is een systeem over te nemen.
Er is een grote waarschijnlijkheid dat de kwetsbaarheid misbruikt gaat worden door kwaadwillenden.
Wat kun u doen?
We raden iedereen aan de volgende overweging te maken:
- Voer de patches van Microsoft Patch Tuesday van januari 2020 uit
- Hoewel in de beschrijving staat dat de patch geen reboot vereist, raden wij aan het systeem, of op zijn minst de windows service, te herstarten.
- Indien patches niet uitgevoerd kunnen worden om redenen, plaats de server niet direct aan het internet en gebruik bijvoorbeeld een VPN (creëer Defence In Depth)
Wat doen wij?
Wij zijn op dit moment bezig de lijst met kwetsbare systemen te verwerken en gaan daarna proberen alle partijen in te lichten.
Timeline
| Date | Description |
|---|---|
| 14-1-2020 | Microsoft Patch Tuesday publiceert patches voor kwetsbaarheden CVE-2020-0609 en CVE-2020-0610 |
| 27-1-2020 | POC waarmee systeem kan worden overgenomen aangekondigd |
| 27-1-2020 | Er wordt gestart met informeren van Nederlandse systeem eigenaren |
| 28-1-2020 | Schrijver van de POC kondigt aan dat er meer informatie gaat volgen |
| 29-1-2020 | Advies voor mvbt herstarten toegevoegd |
| 3-2-2020 | Nieuwe ronde notificaties uitgestuurd, nog 281 hosts vulnerable |

English
Last Update
On 3-2 we sent new notifications for hosts still vulnerable, 281 hosts left

Summary
Scans showed 16 thousand vulnerable systems online, 1137 of these systems are Dutch.
Since a POC video has been release we are assuming others with bad intentions are able to reproduce the POC as-well.
There is a large chance systems will be attacked shortly.
What you can do
recommend taking these steps:
- Patch systems
- Even tought the patch release notes indicate that a reboot is not required, we advise you to restart the system or at the very least restart the Remote Desktop service.
- If patching is not possible implement Defence in Depth, for example by adding a VPN in front of the servers
What we are doing
We are currently processing the list of vulnerable RDP Gateway servers identified in our scanning and will try to inform all affected parties.
Timeline
| Date | Description |
|---|---|
| 14-1-2020 | Microsoft Patch Tuesday announced fixes for vulnerabilities CVE-2020-0609 and CVE-2020-0610 |
| 27-1-2020 | POC for RCE is announced |
| 27-1-2020 | Start informing Dutch vulnerable system owners |
| 28-1-2020 | POC owner anounces more information soon |
| 29-1-2020 | Added advice to restart after patching |
| 3-2-2020 | Sent notifications for hosts still vulnerable, 281 hosts left |
