CVE-2017-0143
Microsoft Windows Server Message Block (SMBv1) Remote Code Execution Vulnerability
Beschreibung
CVE-2017-0143 ist eine schwerwiegende (HIGH) Remote-Code-Execution-Schwachstelle im Microsoft Windows SMBv1-Server mit einem CVSS-3.1-Score von 8,8. Der SMBv1-Server in mehreren Versionen von Microsoft Windows ermöglicht es entfernten Angreifern, beliebigen Code über speziell gestaltete Pakete an den SMB-Dienst auszuführen. Diese Schwachstelle gehört zur EternalBlue-Exploit-Familie und ist eng verwandt mit CVE-2017-0144, CVE-2017-0145, CVE-2017-0146 und CVE-2017-0148. Betroffen sind Windows Vista SP2, Windows Server 2008, Windows 7 SP1, Windows 8.1, Windows Server 2012, Windows 10 und Windows Server 2016. Diese CVE ist im CISA-Katalog bekannter ausgenutzter Schwachstellen (KEV) gelistet mit einer Behebungsfrist bis zum 03.05.2022. Mit einem EPSS-Score von 0,93987 (99,89. Perzentil) weist diese Schwachstelle extrem hohe Ausnutzungsaktivität auf. Sie hat bekannte Ransomware-Verbindungen, insbesondere zu WannaCry und NotPetya.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | server message block | 1.0 |
| philips | intellispace portal | 7.0; 8.0 |
| siemens | acuson p300 firmware | 13.02; 13.03; 13.20; 13.21 |
| siemens | acuson p500 firmware | va10; vb10 |
| siemens | acuson sc2000 firmware | >= 4.0, < 4.0e; 5.0a |
| siemens | acuson x700 firmware | 1.0; 1.1 |
| siemens | syngo sc2000 firmware | >= 4.0, < 4.0e; 5.0a |
| siemens | tissue preparation system firmware | Alle Versionen |
| siemens | versant kpcr molecular system firmware | Alle Versionen |
| siemens | versant kpcr sample prep firmware | Alle Versionen |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/154690/DOUBLEPULSAR-Payload-Execution-Neutralization.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/156196/SMB-DOUBLEPULSAR-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.securityfocus.com/bid/96703(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1037991(Broken Link, Third Party Advisory, VDB Entry)
- https://cert-portal.siemens.com/productcert/pdf/ssa-701903.pdf(Third Party Advisory)
- https://cert-portal.siemens.com/productcert/pdf/ssa-966341.pdf(Third Party Advisory)
- https://ics-cert.us-cert.gov/advisories/ICSMA-18-058-02(Third Party Advisory, US Government Resource)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-0143(Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/41891/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/41987/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/43970/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-0143(US Government Resource)
Schwachstellentyp
CWE-NVD-noinfo: Insufficient Information
CVE-2017-0143 hat keine spezifische CWE-Klassifizierung durch NVD erhalten. Die Schwachstelle liegt in der SMBv1-Protokollverarbeitung im Windows-Kernel, wo eine fehlerhafte Validierung speziell gestalteter SMB-Transaktionsanfragen zu einem Pufferüberlauf führt. Dieser Fehlertyp ist charakteristisch für Speicherbeschädigungsschwachstellen (typischerweise CWE-119 oder CWE-120), bei denen Eingabedaten die Grenzen zugewiesener Speicherpuffer überschreiten und es einem Angreifer ermöglichen, angrenzenden Speicher zu überschreiben.
Das Fehlen einer spezifischen CWE-Zuordnung mindert nicht die Schwere. Die zugrunde liegende Schwäche in der SMBv1-Protokollverarbeitung hat sich als eine der folgenschwersten Software-Schwachstellen der modernen Computergeschichte erwiesen und die verheerenden WannaCry- und NotPetya-Kampagnen ermöglicht, die weltweit Milliardenschäden verursachten.
Auswirkungsanalyse
CVE-2017-0143 hat einen CVSS-3.1-Score von 8,8 (HIGH) mit unverändertem Scope.
Vertraulichkeit (HIGH): Eine erfolgreiche Ausnutzung gewährt dem Angreifer Kernel-Zugriff auf das Zielsystem, wodurch alle Daten offengelegt werden, einschließlich Anmeldedaten, Dokumente und Netzwerkkonfigurationsdaten.
Integrität (HIGH): Mit Kernel-Level-Code-Execution können Angreifer Systemdateien modifizieren, Rootkits und Backdoors installieren, Registry-Einstellungen ändern und zusätzliche Schadsoftware einschleusen, darunter Ransomware.
Verfügbarkeit (HIGH): Eine vollständige Systemkompromittierung ist möglich. Die WannaCry-Ransomware demonstrierte die verheerenden Verfügbarkeitsauswirkungen, indem sie Dateien auf Hunderttausenden Systemen weltweit verschlüsselte.
Scope unverändert: Obwohl der CVSS-Scope als unverändert klassifiziert ist, bedeutet die wurmartige Verbreitungsfähigkeit dieser Schwachstelle, dass eine einzelne erfolgreiche Ausnutzung sich schnell über gesamte Netzwerksegmente ausbreiten kann.
Mit einem EPSS-Score von 0,93987 (99,89. Perzentil) und bestätigten Ransomware-Verbindungen stellt diese Schwachstelle eines der kritischsten Risiken für Umgebungen dar, die noch SMBv1 betreiben.
Exploit-Reifegrad
CVE-2017-0143 hat bestätigte aktive Ausnutzung in freier Wildbahn und ist im CISA-Katalog bekannter ausgenutzter Schwachstellen gelistet.
Exploit-Status: Diese Schwachstelle ist Teil der EternalBlue-Exploit-Familie, ursprünglich von der NSA entwickelt und im April 2017 von der Shadow-Brokers-Gruppe veröffentlicht. Mehrere waffenfähige Exploits existieren in öffentlichen Exploit-Datenbanken, Metasploit und anderen offensiven Frameworks. Der Exploit-Code ist ausgereift, zuverlässig und weit verbreitet.
Ransomware-Verbindung: Diese Schwachstelle hat umfangreiche bestätigte Ransomware-Verbindungen. Sie war der primäre Verbreitungsmechanismus für den WannaCry-Ransomware-Ausbruch im Mai 2017, der über 200.000 Systeme in 150 Ländern betraf. Sie wurde auch von der destruktiven NotPetya-Malware-Kampagne genutzt.
Angriffsfläche: SMB (Port 445) ist in internen Netzwerken häufig exponiert und manchmal auch im Internet. Die Schwachstelle ist wurmartig, das heißt sie kann sich ohne Benutzerinteraktion selbst verbreiten. Die Ausnutzung erfordert keine Authentifizierung.
KEV-Frist: CISA forderte Bundesbehörden auf, diese Schwachstelle bis zum 03.05.2022 zu beheben. Angesichts der katastrophalen Auswirkungen durch WannaCry und NotPetya sollten alle Organisationen diese Schwachstelle längst behoben haben.
Behebung
- Herstellerpatches sofort anwenden. Wenden Sie Updates gemäß den Herstelleranweisungen an. Installieren Sie das Sicherheitsupdate MS17-010 vom März 2017 gemäß dem Microsoft Security Advisory.
- SMBv1 in der gesamten Umgebung deaktivieren. SMBv1 ist ein veraltetes Protokoll mit bekannten Sicherheitsschwächen. Deaktivieren Sie es auf allen Systemen, auf denen es nicht zwingend erforderlich ist.
- SMB an Netzwerkgrenzen blockieren. Blockieren Sie TCP-Port 445 und verwandte SMB-Ports (137-139) an Firewall- und Netzwerkperimetergrenzen. Implementieren Sie interne Netzwerksegmentierung.
- Betroffene Systeme identifizieren. Identifizieren Sie alle Windows-Systeme mit aktiviertem SMBv1 mittels Netzwerk-Scanning und Asset-Inventar-Tools. Achten Sie besonders auf Legacy-Systeme.
- Auf Anzeichen früherer Ausnutzung prüfen. Angesichts der umfangreichen Ausnutzungshistorie überprüfen Sie Systeme auf Kompromittierungsindikatoren im Zusammenhang mit EternalBlue, WannaCry, NotPetya und verwandter Malware.
- Netzwerk-basierte Erkennung implementieren. Setzen Sie IDS/IPS-Signaturen für EternalBlue-Ausnutzungsversuche ein und überwachen Sie anomalen SMB-Datenverkehr.
Technische Details
CVE-2017-0143 ist eine schwerwiegende Schwachstelle im Microsoft Windows SMBv1-Server, die aus der Ferne über das Netzwerk ausnutzbar ist. Die Angriffskomplexität ist niedrig, und keine vorherige Authentifizierung oder Benutzerinteraktion ist erforderlich.
Technischer Mechanismus: Der SMBv1-Server in Microsoft Windows verarbeitet bestimmte speziell gestaltete SMB-Transaktionsanfragen fehlerhaft. Ein Angreifer kann speziell konstruierte Pakete an den SMB-Dienst (Port 445) senden, die einen Pufferüberlauf im Kernel-Speicher auslösen. Dies ermöglicht dem Angreifer, kritische Kernel-Datenstrukturen zu überschreiben und beliebigen Code mit SYSTEM-Rechten auszuführen. Die Schwachstelle ist wurmartig und ermöglicht automatisierte Verbreitung über Netzwerke ohne menschliche Intervention.
CVSS-3.1-Vektoranalyse: Der Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt einen Angriffsvektor NETWORK, Angriffskomplexität LOW, benötigte Privilegien LOW, Benutzerinteraktion NONE, Scope UNCHANGED und Auswirkungsbewertungen HIGH für Vertraulichkeit, Integrität und Verfügbarkeit. Die wurmartige Natur des Exploits bedeutet, dass die tatsächlichen Auswirkungen den CVSS-Score deutlich übersteigen.
Häufig gestellte Fragen
Wird CVE-2017-0143 aktiv ausgenutzt?
Ja, CVE-2017-0143 ist eine der am umfangreichsten ausgenutzten Schwachstellen der Geschichte. Sie gehört zur EternalBlue-Exploit-Familie und war der primäre Verbreitungsmechanismus für den WannaCry-Ransomware-Ausbruch im Mai 2017. Sie wird weiterhin von zahlreichen Bedrohungsakteuren gescannt und ausgenutzt. Der EPSS-Score von 0,93987 (99,89. Perzentil) bestätigt extrem hohe Ausnutzungsaktivität.
Welche Produkte sind von CVE-2017-0143 betroffen?
Betroffen sind Windows Vista SP2, Windows Server 2008 SP2 und R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012 Gold und R2, Windows RT 8.1, Windows 10 Gold, 1511 und 1607 sowie Windows Server 2016. Jedes Windows-System mit aktiviertem SMBv1 und fehlendem MS17-010-Patch ist verwundbar.
Wie behebe ich CVE-2017-0143?
Wenden Sie das Sicherheitsupdate MS17-010 von Microsoft für alle betroffenen Systeme an. Deaktivieren Sie zusätzlich SMBv1 in Ihrer gesamten Umgebung, da es ein veraltetes Protokoll ist. Blockieren Sie SMB-Ports (445, 137-139) an Netzwerkgrenzen und implementieren Sie Netzwerksegmentierung.
Wie schwerwiegend ist CVE-2017-0143?
CVE-2017-0143 wird mit HIGH und einem CVSS-3.1-Score von 8,8 bewertet. Die reale Schwere übersteigt diese Bewertung jedoch bei Weitem. Sie ermöglichte den WannaCry-Ransomware-Angriff, der über 200.000 Systeme in 150 Ländern betraf, sowie den NotPetya-Angriff mit über 10 Milliarden Dollar Schaden. Sie hat bestätigte Ransomware-Verbindungen und wird weiterhin aktiv angegriffen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.