漏洞描述
3月10日，微軟發(fā)布安全通告稱Microsoft Server Message Block 3.1.1(SMBv3)協(xié)議在處理某些請(qǐng)求的方式中存在代碼執(zhí)行漏洞，未經(jīng)身份驗(yàn)證的攻擊者發(fā)送精心構(gòu)造的數(shù)據(jù)包進(jìn)行攻擊，可在目標(biāo)SMB服務(wù)器上執(zhí)行任意代碼。
3月12日微軟發(fā)布了相應(yīng)的安全補(bǔ)丁，強(qiáng)烈建議用戶立即安裝補(bǔ)丁以免受此漏洞導(dǎo)致的風(fēng)險(xiǎn)。
漏洞編號(hào)
CVE-2020-0796
漏洞危害
攻擊者利用此漏洞，可實(shí)現(xiàn)遠(yuǎn)程代碼執(zhí)行。
漏洞等級(jí)
高危
受影響版本
Windows 10 Version 1903 for 32-bit Systems
Windows 10 Version 1903 for ARM64-based Systems
Windows 10 Version 1903 for x64-based Systems
Windows 10 Version 1909 for 32-bit Systems
Windows 10 Version 1909 for ARM64-based Systems
Windows 10 Version 1909 for x64-based Systems
Windows Server, version 1903 (Server Core installation)
Windows Server, version 1909 (Server Core installation)
修復(fù)方案
- 微軟已經(jīng)發(fā)布了此漏洞的安全補(bǔ)丁，訪問如下鏈接：
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-079
如果暫時(shí)無法安裝補(bǔ)丁，禹宏信安當(dāng)前建議按如下臨時(shí)解決方案處理：
- 禁用SMBv3壓縮
使用以下PowerShell命令禁用壓縮功能，以阻止未經(jīng)身份驗(yàn)證的攻擊者利用SMBv3 服務(wù)器的漏洞。
Set-ItemProperty -Path “HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters” DisableCompression -Type DWORD -Value 1 -Force
用戶可通過以下PowerShell命令撤銷禁用壓縮功能
Set-ItemProperty -Path “HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters” DisableCompression -Type DWORD -Value 0 -Force
注：利用以上命令進(jìn)行更改后，無需重啟即可生效；該方法僅可用來防護(hù)針對(duì)SMB服務(wù)器（SMB SERVER）的攻擊，無法對(duì)SMB客戶端（SMB Client）進(jìn)行防護(hù)。
2．設(shè)置防火墻策略
在邊界防火墻做好安全策略阻止SMB通信流出企業(yè)內(nèi)部，詳情可參考微軟官方的指南：
https://support.microsoft.com/zh-cn/help/3185535/preventing-smb-traffic-from-lateral-connections
參考鏈接
1.https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/adv200005
2.https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-079