{"id":232523,"date":"2020-06-11T07:23:32","date_gmt":"2020-06-11T05:23:32","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=232523"},"modified":"2024-04-24T16:47:09","modified_gmt":"2024-04-24T14:47:09","slug":"windows-10-smbleed-schwachstelle-im-smbv3-protokoll","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2020\/06\/11\/windows-10-smbleed-schwachstelle-im-smbv3-protokoll\/","title":{"rendered":"Windows 10: SMBleed-Schwachstelle im SMBv3-Protokoll"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\" align=\"left\" \/>[<a href=\"https:\/\/borncity.com\/win\/2020\/06\/11\/windows-10-smbleed-vulnearbility-in-smbv3-protocol\/\" target=\"_blank\" rel=\"noopener noreferrer\">English<\/a>]Im Server Message Block 3.1.1 (SMBv3) Protokoll von Windows 10\/Server Core wurde erneut eine kritische Schwachstelle entdeckt, die Zugriff auf den Kernelspeicher erm\u00f6glicht. Es gibt aber Updates und Workarounds.<\/p>\n<p><!--more--><\/p>\n<h2>Alte SMBGhost (SMBv3)-Schwachstelle<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg04.met.vgwort.de\/na\/30a777c88d5a4a72a9d815665ddbcab6\" alt=\"\" width=\"1\" height=\"1\" \/>Ich hatte hier im Blog ja mehrfach \u00fcber eine Schwachstelle SMBGhost berichtet (siehe Links am Artikelende). In der Microsoft-Implementierung des SMBv3-Protokolls gibt eine Schwachstelle (<a href=\"https:\/\/kb.cert.org\/vuls\/id\/872016\/\">CVE-2020-0796<\/a>) in der Handhabung der SMB-Dekomprimierung. Diese Schwachstelle erm\u00f6glicht einem Remote-Angreifer die Ausf\u00fchrung von beliebigem Code auf einem verwundbaren System, ohne dass eine Anmeldung erforderlich ist. Die Schwachstelle SMBGhost (CVE-2020-0796) im Kompressionsmechanismus von SMBv3.1.1 wurde vor etwa drei Monaten behoben.<\/p>\n<h2>Neue SMBv3-Schwachstelle<\/h2>\n<p>Als Sicherheitsforscher von Zeops Funktionen diese SMBGhost-Schwachstelle untersuchten, stie\u00dfen Sie auf eine neue Schwachstelle in der Microsoft-Implementierung des SMBv3-Protokolls (v3.1.1 compression). Die Forscher bezeichnen die kritische Schwachstelle CVE-2020-1206 als <a href=\"https:\/\/web.archive.org\/web\/20210205112339\/https:\/\/blog.zecops.com\/vulnerabilities\/smbleedingghost-writeup-chaining-smbleed-cve-2020-1206-with-smbghost\/\" target=\"_blank\" rel=\"noopener noreferrer\">SMBleed<\/a>.<\/p>\n<blockquote class=\"twitter-tweet\">\n<p dir=\"ltr\" lang=\"en\">SMBleed: A New Critical Vulnerability Affects Windows SMB Protocol <a href=\"https:\/\/t.co\/qyMB7jTsQe\">https:\/\/t.co\/qyMB7jTsQe<\/a><\/p>\n<p>\u2014 Nicolas Krassas (@Dinosn) <a href=\"https:\/\/twitter.com\/Dinosn\/status\/1270576644290478086?ref_src=twsrc%5Etfw\">June 10, 2020<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>SMBleed steckt in der gleichen Funktion (<em>Srv2DecompressData<\/em>-Funktion in der\u00a0 <em>srv2.sys<\/em>) wie SMBGhost. Der Fehler erm\u00f6glicht es einem Angreifer, nicht initialisierten Kernel-Speicher zu lesen. Die Details lassen sich in der <a href=\"https:\/\/web.archive.org\/web\/20210205112339\/https:\/\/blog.zecops.com\/vulnerabilities\/smbleedingghost-writeup-chaining-smbleed-cve-2020-1206-with-smbghost\/\" target=\"_blank\" rel=\"noopener noreferrer\">Analyse der Sicherheitsforscher<\/a> nachlesen. M\u00f6glicherweise lassen sich auch RCE-Angriffe ausf\u00fchren.<\/p>\n<h2>Windows 10 Clients und Server Core betroffen<\/h2>\n<p>Am 9. Juni 2020 hat Microsoft das Security Advisory CVE-2020-1206 (Windows SMBv3 Client\/Server Information Disclosure Vulnerability) herausgegeben.<\/p>\n<blockquote><p>Eine Information Disclosure Vulnerability (Schwachstelle zur Offenlegung von Informationen) existiert in der Implementierung des Microsoft Server Message Block 3.1.1 (SMBv3)-Protokolls bei bestimmten Anfragen. Ein Angreifer, der die Schwachstelle erfolgreich ausnutzt, k\u00f6nnte Informationen erhalten, um das System des Benutzers weiter zu kompromittieren.<\/p>\n<p>Um die Schwachstelle gegen einen Server auszunutzen, k\u00f6nnte ein nicht authentifizierter Angreifer ein speziell pr\u00e4pariertes Paket an einen gezielten SMBv3-Server senden. Um die Schwachstelle gegen einen Client auszunutzen, m\u00fcsste ein nicht authentifizierter Angreifer einen b\u00f6sartigen SMBv3-Server konfigurieren und einen Benutzer davon \u00fcberzeugen, eine Verbindung zu ihm herzustellen.<\/p><\/blockquote>\n<p>SMBleed betrifft die Windows 10 Versionen 1903, 1909 und 2004 sowie die Server Core-Installationen von Windows Server Versionen 1903, 1909 und 2004. \u00c4ltere Versionen von Windows bieten keine Unterst\u00fctzung f\u00fcr SMBv3.1.1-Komprimierung und sind daher von SMBleed nicht betroffen.<\/p>\n<h2>Sicherheitsupdates KB4557957 und KB4560960<\/h2>\n<p>Zum Schlie\u00dfen der Schwachstelle hat Microsoft am 9.6.2020 die Sicherheitsupdates <a href=\"https:\/\/support.microsoft.com\/help\/4557957\" target=\"_blank\" rel=\"noopener noreferrer\">KB4557957<\/a> (Windows 10 Version 2004) und <a href=\"https:\/\/support.microsoft.com\/help\/4560960\/\" target=\"_blank\" rel=\"noopener noreferrer\">KB4560960<\/a> (Windows 10 Version 190x) freigegeben. Die Updates stehen auch f\u00fcr die Server Core-Pendants zur Verf\u00fcgung (siehe CVE-2020-1206).<\/p>\n<p>Da ZecOps ein Proof of Concepts freigegeben hat, sollte dringend gepatcht werden \u2013 der Fehler wird als kritisch eingestuft. Als Workaround f\u00fcr Kunden, die die Sicherheitsupdates (KB4560960 und KB4557957) nicht sofort anwenden k\u00f6nnen, empfiehlt Microsoft, die SMBv3-Komprimierung mit diesem PowerShell (Admin)-Befehl zu deaktivieren:<\/p>\n<pre>Set-ItemProperty -Path \"HKLM:\\SYSTEM\\CurrentControlSet\\Services\\LanmanServer\\Parameters\" DisableCompression -Type DWORD -Value 1 -Force<\/pre>\n<p>Es ist kein Neustart erforderlich. Der Befehl deaktiviert die Komprimierung. Unternehmenskunden wird au\u00dferdem empfohlen, den TCP-Port 445 an der Perimeter-Firewall des Unternehmens zu blockieren, um Angriffe auf die Schwachsetlle zu verhindern.<\/p>\n<p><strong>\u00c4hnliche Artikel:<\/strong><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/03\/11\/windows-smbv3-0-day-schwachstelle-cve-2020-0796\/\">Windows SMBv3 0-day-Schwachstelle CVE-2020-0796<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/03\/12\/windows-10-patch-fr-smbv3-schwachstelle-cve-2020-0796\/\">Windows 10: Patch KB4551762 f\u00fcr SMBv3-Schwachstelle CVE-2020-0796<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/03\/12\/scanner-fr-windows-smbv3-schwachstelle-cve-2020-0796\/\">Scanner f\u00fcr Windows SMBv3-Schwachstelle CVE-2020-0796<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/03\/19\/aktuelles-zur-windows-smbv3-schwachstelle-smbghost\/\">Aktuelles zur Windows SMBv3-Schwachstelle SMBGhost<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/06\/06\/windows-10-poc-fr-smbghost-schwachstelle\/\">Windows 10: PoC f\u00fcr SMBGhost-Schwachstelle<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Im Server Message Block 3.1.1 (SMBv3) Protokoll von Windows 10\/Server Core wurde erneut eine kritische Schwachstelle entdeckt, die Zugriff auf den Kernelspeicher erm\u00f6glicht. Es gibt aber Updates und Workarounds.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,301],"tags":[8077,8078,4307,4328,5907,4315,3288],"class_list":["post-232523","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-windows","tag-kb4557957","tag-kb4560960","tag-netzwerk","tag-sicherheit","tag-smb","tag-update","tag-windows-en"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/232523","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=232523"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/232523\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=232523"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=232523"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=232523"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}