Tech News: Alvorlig sårbarhed fundet i Microsoft Remote Desktop Client (CVE-2025-48817)

Der er fundet en alvorlig sårbarhed i Microsoft Remote Desktop Client. Sårbarheden, der er betegnet CVE-2025-48817, berører flere versioner af Windows og udgør en betydelig sikkerhedsrisiko for organisationer, der er afhængige af forbindelser via Remote Desktop Protocol (RDP).

Nedenfor opsummerer vi de oplysninger, der er tilgængelige lige nu, herunder de rettelser, Microsoft udgav den 8. juli.

Om sårbarheden

CVE-2025-48817 er en sårbarhed med relativ sti-traversal (relative path traversal), kombineret med mangelfuld adgangskontrol i Microsofts infrastruktur til Remote Desktop Client.

Når ofre opretter forbindelse til en kompromitteret server med sårbar software til Remote Desktop Client, kan angribere bryde ud af mappegrænserne og udføre vilkårlig fjernkørsel af kode (RCE).

Sårbarheden kræver ikke privilegier for at blive udnyttet. Det er dog stadig nødvendigt, at privilegerede brugere interagerer med et RDP-slutpunkt, som angriberen kontrollerer.

Ifølge Microsoft er der ingen rapporter om, at sårbarheden er blevet udnyttet i det fri, og den er heller ikke blevet omtalt på blogs, fora, sociale medier og lignende hos leverandører af sikkerhedssoftware. Det tyder på — men garanterer bestemt ikke — at trusselsaktører ikke kendte til sårbarheden, før Microsoft offentliggjorde den den 8. juli. Hvis det er tilfældet, har de berørte organisationer et lille vindue til at fjerne fejlen, før trusselsaktører opdager den og begynder at angribe.

CVSS og alvorlighedsgrad

CVE-2025-48817 har fået en CVSS-score på 8,8, hvilket klassificerer alvorligheden som „høj“ (bemærk, at scoren 8,8 kun ligger 0,2 fra den mest alvorlige klassifikation, „kritisk“). Sårbarheder med høj alvorlighed vurderes at udgøre en kritisk risiko for systemer og data og kræver øjeblikkelig opmærksomhed og afhjælpning.

Berørte produkter

Følgende Microsoft-produkter er berørt af sårbarheden:

• Windows Server 2008/2008 R2/2012/2012 R2
• Windows Server 2016/2019/2022/2025
• Windows 10 (alle versioner fra 1607 til 22H2)
• Windows 11 (22H2, 23H2, 24H2)
• Remote Desktop Client for Windows Desktop
• Windows App Client for Windows Desktop

Angrebssti

Et angreb, der udnytter CVE-2025-48817, udfolder sig i følgende trin:

• Trin 1: Etabler en ondsindet RDP-server. Det kan gøres på flere måder, for eksempel med open source-implementationer af RDP, kommercielle værktøjer eller ved at kapre legitim infrastruktur.

• Trin 2: Brugerinteraktion. Det handler om at lokke en administrativ bruger (eller et privilegeret slutpunkt) til at starte en RDP-forbindelse til den ondsindede server. Det kan ske gennem phishing, social engineering eller forskellige teknikker til lateral bevægelse.

• Trin 3: Udnyt sårbarheden. Når ofret opretter forbindelse, præsenterer serveren ressourcer eller tilknyttede drev med særligt udformede stier. Den sårbare klient gransker ikke inputtene og afviser dem heller ikke, men udfører filhandlinger uden for det tiltænkte område.

• Trin 4: Fjernkørsel af kode. Angriberens payload køres på det lokale system. Det kan føre videre til installation af ransomware eller malware eller til at etablere bagdørsadgang.

Rettelser

Den 8. juli udgav Microsoft omfattende sikkerhedsrettelser, der adresserer CVE-2025-48817 på tværs af hele Windows-økosystemet. Alle opdateringer findes i Microsoft Security Response Center.

Berørte organisationer opfordres til at prioritere to nye sikkerhedsopdateringer, KB5062553 og KB5062552, sammen med de rettelser, der svarer til deres specifikke Windows-versioner.

Indsigt og råd fra vores specialist i driftssikkerhed, Patrick Pilotte:

Den nyligt offentliggjorte sårbarhed CVE-2025-48817 i Microsofts Remote Desktop Client er en tydelig påmindelse om de iboende sikkerhedsrisici, der følger med brug af RDP i Windows-miljøer. Fejlen har høj alvorlighed, berører et bredt udsnit af systemer — fra Windows Server 2008 til Windows 11 — og gør RCE uden forudgående godkendelse mulig, når en bruger opretter forbindelse til en ondsindet RDP-server.

Selv om Microsoft udgav rettelser den 8. juli, og der endnu ikke er kendt udnyttelse i det fri, er angrebsstien foruroligende enkel: Nar en privilegeret bruger til at starte en fjernskrivebordsforbindelse til en uautoriseret server. Det kan ske gennem phishing, social engineering eller teknikker til lateral bevægelse. Når forbindelsen er etableret, kan den ondsindede server udnytte sårbarheder med relativ sti-traversal til at bryde ud af mappegrænserne og køre vilkårlig kode på klientmaskinen — uden at der kræves rettighedsforhøjelse.

Afhjælpningsstrategier, og hvordan Devolutions hjælper

Hos Devolutions tror vi på proaktiv, lagdelt sikkerhed, der ikke belaster teams med kompleksitet. Her er nogle af de måder, vi hjælper organisationer med at mindske eksponeringen over for sårbarheder som CVE-2025-48817:

• Håndhæv mindste privilegium med Devolutions PAM: Indfør just-in-time-adgang, begræns sessionsvarigheden, og definér, hvem der får RDP-adgang — og hvornår. Alle privilegerede sessioner logges og kan revideres.

• Centralisér RDP-revision, og få fuldt overblik over alle fjernsessioner med Remote Desktop Manager: Følg hvert forbindelsesforsøg, og bloker, isolér eller gennemgå adgang ud fra rolle, kilde og destination.

• Etabler zero trust og netværkssegmentering: Vores løsninger understøtter zero trust-arkitektur ved at validere hver session, før den starter. Brugt sammen med netværkssegmentering forhindrer løsningerne også uautoriseret lateral bevægelse og blokerer forbindelser til RDP-slutpunkter, der ikke er tillid til.

• Undgå direkte brug af sårbare klienter: Fjern behovet for, at brugerne opretter forbindelse direkte med sårbare Microsoft RDP-klienter, ved at føre sikre fjernsessioner gennem Devolutions Gateway, jump hosts eller Remote Desktop Manager-proxyer. Det lukker et kritisk hul i angrebsfladen.

• Træn slutbrugerne: Phishing og social engineering bliver langt mere realistiske med AI, og slutbrugerne skal være en del af cybersikkerhedsløsningen — ellers kan de uden at ville det blive en del af problemet. Ledere advares mod at antage, at medarbejderne er trænet og opmærksomme. Menneskelige fejl er en faktor i 68 % af databrud, og organisationer, der gennemfører phishing-simulationer, ser et fald på 70 % i slutbrugernes modtagelighed for phishing-angreb over en periode på seks måneder.

Afsluttende tanker

CVE-2025-48817 er ikke den første RDP-relaterede sårbarhed — og den bliver desværre helt sikkert ikke den sidste. Men den giver en værdifuld anledning til at genoverveje styringen af fjernadgang. Med Devolutions-løsninger på plads kan organisationer mindske deres angrebsflade, overvåge privilegeret aktivitet og håndhæve stærk adgangsstyring — før trusselsaktører udnytter en nyopdaget fejl.