360更新补丁一直提示正在安装_远程利用POC公布|CVE20200796：微软发布SMBv3协议“蠕虫级”漏洞补丁通告...

更多全球网络安全资讯尽在邑安全

www.eansec.com

0x00 事件描述

2020年3月11日，360CERT监测到有海外厂家发布安全规则通告，通告中描述了一处微软SMBv3协议的内存破坏漏洞，编号CVE-2020-0796，并表示该漏洞无需授权验证即可被远程利用，可能形成蠕虫级漏洞。
漏洞等级：严重

该漏洞同时影响服务端和客户端程序，影响所有 Windows 未安装补丁用户！！!

3月12日，微软正式发布漏洞通告和相关补丁。

3月30日，360CERT监测到有国外的安全研究员在GitHub放出了漏洞本地利用代码。

6月02日，研究人员公布远程利用PoC代码。公开的远程利用将会把漏洞的危害扩展到最大化，360CERT建议用户尽快进行修复。

0x01 风险等级

360CERT对该漏洞的评定结果如下

评定方式	等级
威胁等级	严重
影响面	广泛

0x02 漏洞详情

微软公告中描述如下[见参考链接1]：

漏洞是因为操作系统在处理SMB3中的压缩数据包时存在错误处理。成功构造数据包的攻击者可在远程无验证的条件下利用该漏洞执行任意代码。

漏洞利用结果如图：

0x03 影响范围

Windows 10 Version 1903 for 32-bit Systems
Windows 10 Version 1903 for x64-based Systems
Windows 10 Version 1903 for ARM64-based Systems
Windows Server, version 1903 (Server Core installation)
Windows 10 Version 1909 for 32-bit Systems
Windows 10 Version 1909 for x64-based Systems
Windows 10 Version 1909 for ARM64-based Systems
Windows Server, version 1909 (Server Core installation)

0x04 修复建议

3月12日微软正式发布漏洞通告和补丁方案

请在根据如下链接下载修复补丁进行修复

CVE-2020-0796 | Windows SMBv3 Client/Server Remote Code Execution Vulnerabilityhttps://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0796

无法安装更新的用户可以选择遵循微软官方指南，停用 SMBv3 中的压缩功能

powershell 中运行如下命令

# 停用
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" DisableCompression -Type DWORD -Value 1 -Force
# 恢复
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" DisableCompression -Type DWORD -Value 0 -Force

该修复对客户端无效，请勿连接不信任的 SMB 服务器。以免遭受该漏洞影响。

360CERT建议通过安装360安全卫士进行一键更新。http://weishi.360.cn/

应及时进行Microsoft Windows版本更新并且保持Windows自动更新开启。

windows server / windows 检测并开启Windows自动更新流程如下