漏洞通告丨SMBv3協議遠程代碼執行漏洞

微軟公告了最新的SMBv3遠程代碼執行漏洞，山石網科針對此漏洞已經發布防護特徵。

SMB協議是Microsoft Windows中使用的一個網絡共享協議，常用於區域網內部共享文件、印表機等；SMBv3是SMB的version 3版本。近日微軟公告了一個最新的SMBv3遠程代碼執行漏洞，目前微軟已發布安全補丁對漏洞進行修復，同時山石網科針對此漏洞已經發布防護特徵，建議用戶及時修補或升級網絡安全設備入侵檢測特徵庫，做好安全防護措施。

CVE-2020-0796：是針對SMB伺服器/客戶端的一個內存破壞漏洞，屬於嚴重危害的遠程代碼執行漏洞；黑客利用此漏洞，可以在目標SMB伺服器或SMB客戶端上執行任意代碼。

客戶端漏洞發生在mrxsmb.sys中，服務端漏洞發生在srv2.sys中，由於SMB沒有正確處理壓縮的數據包,在解壓數據包的時候使用客戶端傳過來的長度進行解壓時,並沒有檢查長度是否合法，導致出現整數溢出。

Windows 10 Version 1903 for 32-bit SystemsWindows 10 Version 1903 for x64-basedSystemsWindows 10 Version 1903 for ARM64-basedSystemsWindows Server, version 1903 (Server Coreinstallation)Windows 10 Version 1909 for 32-bit SystemsWindows 10 Version 1909 for x64-basedSystemsWindows 10 Version 1909 for ARM64-basedSystemsWindows Server, version 1909 (Server Coreinstallation)1、微軟官方已發布該漏洞的安全補丁，建議windows用戶及時更新安全補丁。

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0796

1）禁用SMBv3壓縮；使用PowerShell命令禁用壓縮功能，以阻止未經身份驗證的攻擊者利用SMBv3伺服器的漏洞。

山石網科已將該漏洞的攻擊特徵添加至特徵列表中，特徵庫版本：2.1.341。用戶通過升級山石網科入侵檢測/防禦系統、防火牆、山石雲·界、山石雲·格和山石智·感的入侵檢測特徵庫，可以有效阻止黑客對SMBv3遠程代碼執行漏洞的攻擊。

圖註：山石網科IPS設備防禦效果

圖註：漏洞特徵詳細描述

如需幫助，請諮詢[e-mail]。

山石網科是中國網絡安全行業的技術創新領導廠商，自成立以來一直專注於網絡安全領域前沿技術的創新，提供包括邊界安全、雲安全、數據安全、內網安全在內的網絡安全產品及服務，致力於為用戶提供全方位、更智能、零打擾的網絡安全解決方案。山石網科為政府、金融、運營商、網際網路、教育、醫療衛生等行業累計超過18,000家用戶提供高效、穩定的安全防護。山石網科在蘇州、北京和美國矽谷均設有研發中心，業務已經覆蓋了美洲、歐洲、東南亞、中東等50多個國家和地區。