漏洞概況

• 漏洞編號：MS12-020 (CVE-2012-0002)
• 影響元件：Windows 遠端桌面協定 (RDP) 服務 rdpwd.sys
• 風險等級：Critical (最高等級)
• 攻擊向量：攻擊者向 TCP 3389 埠發送特製 RDP 封包，觸發 HandleAttachUserReq() 函數缺陷，可遠端執行任意程式碼 (RCE) 或導致藍屏 (DoS)。
• 無需認證：攻擊前不需登入，極度危險。

歷史同級漏洞回顧

• MS04-011 (CVE-2003-0533)：LSASS 服務 445 埠溢位，震盪波病毒 (Sasser) 全球癱瘓百萬電腦。
• MS03-026 (CVE-2003-0352)：RPC DCOM 135 埠溢位，衝擊波病毒 (Blaster) 導致大量電腦自動重啟/關機。

MS12-020 同屬「無需認證、遠端可執行代碼、蠕蟲化傳播潛力高」的最高危類別，一旦被廣泛利用，受害伺服器將淪為跳板進一步攻擊內網與整個網際網路。

緊急防護措施

1. 立即安裝官方修補程式：Windows Update 自動更新用戶已自動防護；未開啟自動更新的伺服器請手動下載安裝 MS12-020 修補程式。
2. 網路層面封鎖：防火牆/邊界路由器封鎖來自非信任 IP 的 TCP 3389 連線；僅允許管理 IP/VPN 存取。
3. 啟用網路層級驗證 (NLA)：RDP 設定要求驗證後才建立會話，可緩解未修補系統風險。
4. 變更 RDP 埠號：修改登錄 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber 為非預設埠，降低自動掃描命中率。
5. 停用不必要的 RDP：非遠端管理需求的伺服器直接關閉遠端桌面服務。

檢測是否受影響

掃描工具：Nessus、OpenVAS、Microsoft Baseline Security Analyzer (MBSA) 或安全廠商提供的專用檢測腳本。檢測目標為 rdpwd.sys 版本號是否包含修補程式。

結語：伺服器管理員請視同緊急事故處理，完成修補、驗證、記錄與回報，切勿僥倖拖延。