CVE-2020-0796

Błąd wynika z nieprawidłowej obsługi przez protokół SMBv3 1.1 określonych żądań sieciowych, co prowadzi do przepełnienia bufora (buffer overflow) w mechanizmie kompresji. Atakujący może wysłać specjalnie spreparowany pakiet do serwera SMB lub nakłonić klienta do połączenia ze złośliwym serwerem SMB, co skutkuje wykonaniem dowolnego kodu w kontekście jądra systemu (kernel). Podatność dotyczy zarówno komponentu serwerowego, jak i klienckiego protokołu SMBv3.

Atakujący może zdalnie wykonać dowolny kod z uprawnieniami jądra systemu (kernel-level RCE), co w praktyce oznacza pełne przejęcie kontroli nad podatną maszyną, w tym możliwość lateral movement w sieci wewnętrznej.

Należy niezwłocznie zainstalować aktualizację bezpieczeństwa dostępną od producenta (Microsoft). Jako tymczasowe obejście do czasu wdrożenia patcha zaleca się wyłączenie kompresji SMBv3 na serwerach oraz zablokowanie dostępu do portu TCP 445 na granicy sieci i firewallu. Szczegółowe informacje dostępne w referencjach producenta.

Microsoft Windows 10 w wersjach 1903 i 1909 oraz Microsoft Windows Server w wersjach 1903 i 1909 z aktywnym protokołem SMBv3 1.1.

Podatność jest znana publicznie pod nazwą 'SMBGhost' oraz 'CoronaBlue'. Publicznie dostępne są proof-of-concept exploity zarówno dla RCE, jak i local privilege escalation. Podatność dotyczy wyłącznie SMBv3 1.1 — starsze wersje protokołu SMB nie są podatne.

CISA KEV — szczegółyi

Dostawcai

Microsoft ↗

Produkti

SMBv3

Data dodania do KEVi

10 lutego 2022

Termin remediation (USA)i

10 sierpnia 2022(po terminie)

Ransomwarei

Aktywne kampanie ransomware używają tej podatności