CVE-2017-0144
Microsoft SMBv1 Remote Code Execution Vulnerability
Beschreibung
CVE-2017-0144 ist eine schwerwiegende Remote-Code-Execution-Schwachstelle im SMBv1-Server mehrerer Microsoft-Windows-Versionen mit einem CVSS-3.1-Score von 8.8 (HIGH). Unter dem NSA-Exploit-Codenamen "EternalBlue" weltweit bekannt, gilt sie als eine der folgenreichsten Schwachstellen der modernen Ära. Sie ermöglicht Remote Code Execution durch speziell gestaltete SMBv1-Pakete auf TCP-Port 445. EternalBlue war der primäre Ausbreitungsmechanismus der WannaCry-Ransomware-Pandemie (Mai 2017) und des NotPetya-Angriffs (Juni 2017), die zusammen geschätzt 10+ Milliarden Dollar Schaden verursachten. Der CISA-KEV-Katalog bestätigt den Ransomware-Bezug. EPSS-Score: 94,30 % (99,94. Perzentile) — einer der höchsten überhaupt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | server message block | 1.0 |
| siemens | acuson p300 firmware | 13.02; 13.03; 13.20; 13.21 |
| siemens | acuson p500 firmware | va10; vb10 |
| siemens | acuson sc2000 firmware | >= 4.0, < 4.0e; 5.0a |
| siemens | acuson x700 firmware | 1.0; 1.1 |
| siemens | syngo sc2000 firmware | >= 4.0, < 4.0e; 5.0a |
| siemens | tissue preparation system firmware | Alle Versionen |
| siemens | versant kpcr molecular system firmware | Alle Versionen |
| siemens | versant kpcr sample prep firmware | Alle Versionen |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/154690/DOUBLEPULSAR-Payload-Execution-Neutralization.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/156196/SMB-DOUBLEPULSAR-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.securityfocus.com/bid/96704(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1037991(Broken Link, Third Party Advisory, VDB Entry)
- https://cert-portal.siemens.com/productcert/pdf/ssa-701903.pdf(Third Party Advisory)
- https://cert-portal.siemens.com/productcert/pdf/ssa-966341.pdf(Third Party Advisory)
- https://ics-cert.us-cert.gov/advisories/ICSMA-18-058-02(Third Party Advisory, US Government Resource)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-0144(Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/41891/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/41987/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/42030/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/42031/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-0144(US Government Resource)
Schwachstellentyp
SMBv1 Buffer Overflow Schwachstelle
CVE-2017-0144 hat keine formal zugewiesene CWE, doch die zugrunde liegende Schwäche ist ein Buffer Overflow im SMBv1-Protokoll-Handler des Windows-Kernels. Der SMBv1-Server-Treiber (srv.sys) validiert bestimmte Transaktionsanfragen nicht ordnungsgemäß, wodurch ein Angreifer einen Kernel-Buffer überlaufen lassen und beliebigen Code ausführen kann.
Das SMBv1-Protokoll aus den 1980er Jahren trägt erhebliche architektonische Altlasten. Seine komplexe Nachrichtenverarbeitung, kombiniert mit der direkten Kernel-Mode-Implementierung in Windows, schafft Bedingungen, unter denen Parsing-Fehler katastrophale Folgen haben. Anders als moderne Protokollimplementierungen in User-Space operiert der SMBv1-Server im Kernel-Modus — jede Ausnutzung gewährt sofort die höchsten Systemprivilegien.
Auswirkungsanalyse
CVE-2017-0144 erreicht einen CVSS-3.1-Score von 8.8 (HIGH), doch die realen Auswirkungen waren auf globaler Ebene katastrophal.
Vertraulichkeit (High): Kernel-Level-Codeausführung über den SMBv1-Dienst (SYSTEM-Privilegien) gewährt uneingeschränkten Zugriff auf alle Systemdaten — Anmeldedaten, Verschlüsselungsschlüssel, Dokumente und erreichbare Netzwerkressourcen.
Integrität (High): SYSTEM-Level-Zugriff ermöglicht die Modifikation beliebiger Dateien, Installation von Rootkits, Erstellung administrativer Konten und Deployment destruktiver Payloads. NotPetya nutzte diesen Zugriff zum Überschreiben von Master Boot Records.
Verfügbarkeit (High): Die Verfügbarkeitsauswirkungen waren am sichtbarsten. WannaCry verschlüsselte Hunderttausende Systeme in über 150 Ländern — Krankenhäuser, Fabriken und Behörden fielen aus. NotPetya verursachte Milliardenverluste bei Unternehmen wie Maersk, Merck und FedEx.
Ransomware bestätigt: CISA bestätigt ausdrücklich den Ransomware-Bezug. EternalBlue bleibt einer der meistgenutzten initialen Zugriffsvektoren für Ransomware.
Der EPSS-Score von 94,30 % (99,94. Perzentile) bestätigt sie als eine der meistausgenutzten Schwachstellen der Geschichte.
Exploit-Reifegrad
Exploit-Status: CVE-2017-0144 hat die höchstmögliche Exploit-Reife — von einem Nationalstaat entwickelt, öffentlich geleakt und in den zerstörerischsten Cyberangriffen der Geschichte eingesetzt.
NSA-Ursprung: EternalBlue wurde von der Equation Group der NSA entwickelt und am 14. April 2017 von den Shadow Brokers veröffentlicht.
Öffentliche Exploits: Zahlreiche Implementierungen auf Exploit-DB (41891, 41987, 42030, 42031) und im Metasploit-Framework.
WannaCry (Mai 2017): WannaCry nutzte EternalBlue zur automatischen Netzwerkausbreitung und infizierte geschätzt 300.000+ Systeme in 150+ Ländern.
NotPetya (Juni 2017): NotPetya nutzte EternalBlue und EternalRomance und verursachte geschätzt 10+ Milliarden Dollar Schaden weltweit.
Fortgesetzte Ausnutzung: EternalBlue wird Jahre nach der Offenlegung weiterhin in Ransomware-Kampagnen, Kryptomining-Operationen und Botnet-Ausbreitung eingesetzt.
EPSS-Kontext: 94,30 % (99,94. Perzentile) — einer der höchsten je gemessenen Werte.
Behebung
-
Microsoft-Sicherheitsbulletin MS17-010 sofort installieren. Wenden Sie den Patch aus dem MSRC-Advisory für alle Windows-Versionen an. Microsoft veröffentlichte Notfall-Patches auch für End-of-Life-Systeme wie Windows XP.
-
SMBv1 auf allen Systemen deaktivieren. SMBv1 ist veraltet und sollte organisationsweit deaktiviert werden:
Set-SmbServerConfiguration -EnableSMB1Protocol $false. -
SMB-Ports an allen Netzwerkgrenzen blockieren. Blockieren Sie TCP 445 und 139 an Perimeter-Firewalls. Implementieren Sie interne Netzwerksegmentierung zur Verhinderung SMB-basierter lateraler Bewegung.
-
Unternehmensweites Vulnerability-Scanning durchführen. Scannen Sie alle Netzwerksegmente auf Systeme mit exponiertem SMBv1. Achten Sie besonders auf Legacy-Systeme, Embedded Devices und Medizintechnik.
-
Netzwerk-Intrusion-Detection einsetzen. Implementieren Sie IDS/IPS-Signaturen für EternalBlue-Ausnutzungsversuche und DOUBLEPULSAR-Kommunikation.
-
Backup-Integrität sicherstellen. Angesichts des Ransomware-Bezugs stellen Sie sicher, dass Offline-Backups aktuell und getestet sind. Implementieren Sie die 3-2-1-Backup-Strategie mit mindestens einer Air-Gapped-Kopie.
Technische Details
CVE-2017-0144, "EternalBlue," ist eine Remote-Code-Execution-Schwachstelle im Microsoft SMBv1-Server durch einen Buffer Overflow im Windows-Kernel-SMB-Treiber.
Angriffsvektor: Netzwerk (AV:N), niedrige Komplexität (AC:L), niedrige Privilegien (PR:L) — gültige SMB-Sitzung, oft mit Null-Credentials möglich. Keine Benutzerinteraktion (UI:N).
Technischer Ablauf: Der Exploit zielt auf die SMBv1-Verarbeitung von Transaction-2-Anfragen (TRANS2). Durch eine Serie speziell gestalteter SMB-Pakete wird ein Buffer Overflow im srv.sys-Kernel-Treiber ausgelöst. Durch Pool-Grooming-Techniken übernimmt der Angreifer die Kontrolle über den Ausführungsfluss auf Ring-0-Ebene.
Schlüsseldetail: Der Exploit nutzt eine Fehlerkalkulierung bei der Verarbeitung von SMB_COM_NT_TRANSACT-Anfragen, die größer als das MaxBufferSize-Feld sind. Die Größenfehlerberechnung führt zu einem kontrollierbaren Kernel-Pool-Overflow.
Wurmfähigkeit: Die Schwachstelle erfordert keine Benutzerinteraktion und ist über Netzwerke ausnutzbar — inhärent wurmfähig. WannaCry demonstrierte dies durch automatische Ausbreitung über Netzwerke und das Internet.
Betroffene Systeme: Alle Windows-Versionen mit SMBv1-Unterstützung, von Windows XP bis Windows Server 2016, plus Siemens-Medizintechnikgeräte.
Häufig gestellte Fragen
Was ist CVE-2017-0144?
CVE-2017-0144, bekannt als "EternalBlue," ist eine Remote-Code-Execution-Schwachstelle im Microsoft SMBv1-Server. Von der NSA entwickelt und im April 2017 von den Shadow Brokers geleakt, ermöglicht sie die Codeausführung mit SYSTEM-Privilegien über TCP-Port 445. Sie steht hinter den WannaCry- und NotPetya-Angriffen.
Warum ist CVE-2017-0144 so bedeutsam?
EternalBlue ermöglichte die zwei zerstörerischsten Cyberangriffe der Geschichte. WannaCry (Mai 2017) infizierte 300.000+ Systeme in 150+ Ländern, NotPetya (Juni 2017) verursachte 10+ Milliarden Dollar Schaden. Die Wurmfähigkeit ermöglicht automatische Ausbreitung ohne Benutzerinteraktion.
Wie behebe ich CVE-2017-0144?
Installieren Sie MS17-010 und deaktivieren Sie SMBv1 organisationsweit. Blockieren Sie SMB-Ports 445 und 139 an Netzwerkgrenzen. Scannen Sie alle Systeme auf exponierte SMBv1-Dienste und DOUBLEPULSAR-Implantate. Stellen Sie Offline-Backups sicher.
Wird CVE-2017-0144 noch ausgenutzt?
Ja. Trotz verfügbarer Patches seit März 2017 bleibt EternalBlue eine der weltweit am meisten ausgenutzten Schwachstellen. Der EPSS-Score von 94,30 % (99,94. Perzentile) bestätigt andauernde aktive Ausnutzung durch Ransomware-Betreiber und andere Bedrohungsakteure.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.