CVE-2017-0145
Microsoft SMBv1 Remote Code Execution Vulnerability
Beschreibung
CVE-2017-0145 ist eine schwerwiegende Remote-Code-Execution-Schwachstelle in der SMBv1-Server-Implementierung mehrerer Microsoft-Windows-Versionen mit einem CVSS-3.1-Score von 8.8 (HIGH). Unter dem NSA-Exploit-Codenamen "EternalRomance" bekannt, wurde die Schwachstelle als Teil der Shadow-Brokers-Veröffentlichung von NSA-Hacking-Tools publik. Sie ermöglicht die Ausführung beliebigen Codes durch speziell gestaltete SMBv1-Pakete. Betroffen sind Microsoft SMB 1.0 auf Desktop- und Server-Editionen sowie Siemens-Medizintechnikgeräte. Der CISA-KEV-Katalog bestätigt einen Ransomware-Bezug. Aufnahme am 10. Februar 2022, Behebungsfrist bis 10. August 2022. EPSS-Score: 93,27 % (99,80. Perzentile).
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | server message block | 1.0 |
| siemens | acuson p300 firmware | 13.02; 13.03; 13.20; 13.21 |
| siemens | acuson p500 firmware | va10; vb10 |
| siemens | acuson sc2000 firmware | >= 4.0, < 4.0e; 5.0a |
| siemens | acuson x700 firmware | 1.0; 1.1 |
| siemens | syngo sc2000 firmware | >= 4.0, < 4.0e; 5.0a |
| siemens | tissue preparation system firmware | Alle Versionen |
| siemens | versant kpcr molecular system firmware | Alle Versionen |
| siemens | versant kpcr sample prep firmware | Alle Versionen |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/154690/DOUBLEPULSAR-Payload-Execution-Neutralization.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/156196/SMB-DOUBLEPULSAR-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.securityfocus.com/bid/96705(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1037991(Broken Link, Third Party Advisory, VDB Entry)
- https://cert-portal.siemens.com/productcert/pdf/ssa-701903.pdf(Third Party Advisory)
- https://cert-portal.siemens.com/productcert/pdf/ssa-966341.pdf(Third Party Advisory)
- https://ics-cert.us-cert.gov/advisories/ICSMA-18-058-02(Third Party Advisory, US Government Resource)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-0145(Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/41891/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/41987/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-0145(US Government Resource)
Schwachstellentyp
SMBv1 Remote Code Execution Schwachstelle
CVE-2017-0145 hat keine formal zugewiesene CWE, doch die zugrunde liegende Schwäche betrifft die fehlerhafte Verarbeitung von SMBv1-Transaktionsstrukturen, die zu einer Buffer-Overflow-Bedingung führt. Die Schwachstelle liegt in der Art, wie der Windows-SMBv1-Server bestimmte Transaktionsanfragen verarbeitet, ohne Größe und Inhalt eingehender Datenstrukturen ordnungsgemäß zu validieren.
SMBv1 (Server Message Block Version 1) ist ein Legacy-Netzwerk-Dateifreigabeprotokoll aus den 1980er Jahren. Sein Alter und seine Komplexität machen es besonders anfällig für Speicherkorruptions-Schwachstellen. Das Protokoll wurde ohne moderne Sicherheitsüberlegungen entworfen, und seine fortgesetzte Präsenz auf Windows-Systemen hat eine persistente Angriffsfläche geschaffen.
Auswirkungsanalyse
CVE-2017-0145 erreicht einen CVSS-3.1-Score von 8.8 (HIGH) mit verheerenden realen Auswirkungen durch Ransomware-Kampagnen.
Vertraulichkeit (High): Remote Code Execution über SMBv1 gewährt Zugriff auf alle Daten, die dem SMB-Dienst zugänglich sind — dieser läuft typischerweise mit SYSTEM-Level-Privilegien. Dies umfasst alle Dateien, im Speicher gecachte Anmeldedaten und erreichbare Netzwerkressourcen.
Integrität (High): Mit SYSTEM-Level-Codeausführung kann ein Angreifer beliebige Dateien modifizieren, persistente Backdoors installieren, Ransomware deployen und Sicherheitskonfigurationen ändern. Der NotPetya-Angriff demonstrierte, wie SMBv1-Exploits schnelle, automatisierte Ausbreitung und destruktive Payload-Zustellung ermöglichen.
Verfügbarkeit (High): Die verheerendsten realen Auswirkungen betrafen die Verfügbarkeit. Ransomware-Kampagnen über SMBv1-Schwachstellen verursachten Milliardenschäden durch verschlüsselte Systeme und langanhaltende Betriebsausfälle.
Ransomware bestätigt: Der CISA-KEV-Katalog bestätigt ausdrücklich den Ransomware-Bezug. CVE-2017-0145 wurde als Teil der EternalRomance/EternalBlue-Exploit-Familie in multiple Ransomware-Frameworks integriert.
Der EPSS-Score von 93,27 % (99,80. Perzentile) bestätigt weit verbreitete automatisierte Ausnutzung.
Exploit-Reifegrad
Exploit-Status: CVE-2017-0145 hat eine extrem hohe Exploit-Reife als Teil des von den Shadow Brokers geleakten NSA-Exploit-Toolkits.
NSA-Exploit-Tools: CVE-2017-0145 entspricht dem "EternalRomance"-Exploit aus dem Equation-Group-Toolkit der NSA, im April 2017 von den Shadow Brokers veröffentlicht.
Öffentliche Exploits: Multiple Exploit-Implementierungen auf Exploit-DB (41891 und 41987) und Packet Storm Security, einschließlich des DOUBLEPULSAR-Payload-Injection-Frameworks.
Ransomware-Kampagnen: Diese Schwachstelle wurde zusammen mit CVE-2017-0144 (EternalBlue) in den WannaCry- und NotPetya-Ransomware-Kampagnen 2017 ausgenutzt, die geschätzte 10+ Milliarden Dollar Schaden weltweit verursachten.
KEV mit Ransomware-Flag: CISA bestätigte den Ransomware-Bezug und nahm die CVE am 10. Februar 2022 in den KEV-Katalog auf.
Fortgesetzte Ausnutzung: Trotz verfügbarer Patches seit März 2017 werden SMBv1-Schwachstellen aufgrund von Legacy-Systemen weiterhin ausgenutzt.
EPSS-Kontext: 93,27 % (99,80. Perzentile) bestätigt andauernde weitverbreitete Ausnutzung.
Behebung
-
Microsoft-Sicherheitsupdate MS17-010 sofort installieren. Wenden Sie den Patch aus dem MSRC-Advisory für alle betroffenen Windows-Versionen an.
-
SMBv1 vollständig deaktivieren. SMBv1 ist ein veraltetes Protokoll mit bekannten systemischen Sicherheitsproblemen. Deaktivierung über PowerShell:
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol. -
SMB-Verkehr an Netzwerkgrenzen blockieren. Blockieren Sie TCP-Ports 445 und 139 an der Netzwerkperimeter-Firewall. SMB sollte niemals dem Internet ausgesetzt sein. Segmentieren Sie interne Netzwerke zur Begrenzung lateraler Bewegung.
-
Legacy-Systeme und IoT-Geräte prüfen. Siemens-Medizintechnikgeräte und andere eingebettete Systeme benötigen möglicherweise separate Patch-Prozesse. Isolieren Sie diese Systeme in dedizierten Netzwerksegmenten.
-
Auf DOUBLEPULSAR-Backdoor prüfen. Scannen Sie potenziell betroffene Systeme auf DOUBLEPULSAR-Implantate, die häufig zusammen mit EternalRomance installiert werden.
-
Netzwerkerkennung implementieren. Setzen Sie IDS/IPS-Regeln zur Erkennung von EternalRomance-Ausnutzungsversuchen und DOUBLEPULSAR-Kommunikation ein.
Technische Details
CVE-2017-0145 ist eine Remote-Code-Execution-Schwachstelle im Microsoft SMBv1-Server, bekannt unter dem NSA-Codenamen "EternalRomance."
Angriffsvektor: Netzwerk (AV:N), niedrige Komplexität (AC:L), niedrige Privilegien erforderlich (PR:L) — gültige SMB-Sitzung nötig — keine Benutzerinteraktion (UI:N). Zugriff auf den SMBv1-Dienst über TCP-Port 445.
Technischer Ablauf: Die Schwachstelle liegt im SMBv1-Transaktionsverarbeitungscode. Der Exploit manipuliert SMB_COM_TRANSACTION2-Anfragen, um eine Type-Confusion oder einen Buffer Overflow im Windows-Kernel-SMB-Server-Treiber (srv.sys) auszulösen. Durch präzise Manipulation der Transaktionsstruktur wird Kernel-Speicher kontrolliert korrumpiert, was die Ausführung beliebigen Codes mit SYSTEM-Privilegien ermöglicht.
DOUBLEPULSAR-Integration: Im originalen NSA-Toolkit wurde EternalRomance zusammen mit DOUBLEPULSAR verwendet, einem Kernel-Level-Backdoor-Implantat, das über den SMB-Exploit injiziert wird.
Betroffene Systeme: Microsoft SMB 1.0 auf Windows Desktop (7, 8.1, 10) und Server (2008, 2012, 2016), plus Siemens ACUSON Medizintechnik-Geräte.
Verwandte CVEs: CVE-2017-0145 gehört zu einer Familie verwandter SMBv1-Schwachstellen einschließlich CVE-2017-0144 (EternalBlue), alle im MS17-010-Sicherheitsbulletin adressiert.
Häufig gestellte Fragen
Was ist CVE-2017-0145?
CVE-2017-0145, bekannt als "EternalRomance," ist eine schwerwiegende Remote-Code-Execution-Schwachstelle im Microsoft SMBv1-Server. Sie ermöglicht die Ausführung beliebigen Codes mit SYSTEM-Privilegien durch speziell gestaltete Pakete auf TCP-Port 445. Der Exploit wurde von der NSA entwickelt und im April 2017 von den Shadow Brokers veröffentlicht.
Steht CVE-2017-0145 in Zusammenhang mit WannaCry und NotPetya?
Ja. CVE-2017-0145 gehört zur selben Familie von SMBv1-Schwachstellen, die in den WannaCry- und NotPetya-Ransomware-Kampagnen 2017 ausgenutzt wurden. NotPetya verwendete sowohl EternalBlue als auch EternalRomance zur Ausbreitung und verursachte geschätzte 10+ Milliarden Dollar Schaden weltweit.
Wie behebe ich CVE-2017-0145?
Installieren Sie Microsoft-Sicherheitsbulletin MS17-010. Deaktivieren Sie SMBv1 auf allen Systemen. Blockieren Sie SMB-Ports 445 und 139 an Netzwerkgrenzen und segmentieren Sie interne Netzwerke. Prüfen Sie potenziell betroffene Systeme auf DOUBLEPULSAR-Backdoor-Implantate.
Wie schwerwiegend ist CVE-2017-0145?
Mit CVSS 8.8 (HIGH) und bestätigtem Ransomware-Bezug gehört CVE-2017-0145 zu den folgenreichsten jemals offengelegten Schwachstellen. Der EPSS-Score von 93,27 % (99,80. Perzentile) bestätigt weitverbreitete Ausnutzung. Als Teil des NSA-Exploit-Toolkits ermöglichte sie die zerstörerischsten Ransomware-Kampagnen der Geschichte.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.