CVE-2017-0148
Microsoft SMBv1 Server Remote Code Execution Vulnerability
Beschreibung
CVE-2017-0148 ist eine Remote-Code-Execution-Schwachstelle in Microsofts SMBv1-Server-Implementierung, eng verwandt mit dem berüchtigten EternalBlue-Exploit (MS17-010). Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, speziell gestaltete Pakete an einen SMBv1-Server zu senden, um beliebigen Code mit SYSTEM-Privilegien auszuführen. Diese Schwachstelle wurde in den verheerenden WannaCry- und NotPetya-Ransomware-Kampagnen eingesetzt, die weltweit Schäden in Milliardenhöhe verursachten. Sie wurde mit bestätigter Ransomware-Zuordnung in den CISA Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen und hat einen EPSS-Score von 97,5 % (99,9. Perzentil).
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | server message block | 1.0 |
| siemens | acuson p300 firmware | 13.02; 13.03; 13.20; 13.21 |
| siemens | acuson p500 firmware | va10; vb10 |
| siemens | acuson sc2000 firmware | >= 4.0, < 4.0e; 5.0a |
| siemens | acuson x700 firmware | 1.0; 1.1 |
| siemens | syngo sc2000 firmware | >= 4.0, <= 4.0e; 5.0a |
| siemens | tissue preparation system firmware | Alle Versionen |
| siemens | versant kpcr molecular system firmware | Alle Versionen |
| siemens | versant kpcr sample prep firmware | Alle Versionen |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/154690/DOUBLEPULSAR-Payload-Execution-Neutralization.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/156196/SMB-DOUBLEPULSAR-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.securityfocus.com/bid/96706(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1037991(Broken Link, Third Party Advisory, VDB Entry)
- https://cert-portal.siemens.com/productcert/pdf/ssa-701903.pdf(Third Party Advisory)
- https://cert-portal.siemens.com/productcert/pdf/ssa-966341.pdf(Third Party Advisory)
- https://ics-cert.us-cert.gov/advisories/ICSMA-18-058-02(Third Party Advisory, US Government Resource)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-0148(Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/41891/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/41987/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-0148(US Government Resource)
Schwachstellentyp
CWE-119: Unzureichende Beschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers
Diese Schwachstelle betrifft die Durchführung von Operationen auf einem Speicherpuffer, ohne ordnungsgemäß sicherzustellen, dass Lese- und Schreibaktionen innerhalb der Puffergrenzen bleiben. Bei CVE-2017-0148 verarbeitet der SMBv1-Server bestimmte Transaktionsanfragen unsachgemäß, was zu einem Buffer Overflow führt, der Remote Code Execution ermöglicht. Weitere Details unter CWE-119.
Auswirkungsanalyse
Die Auswirkung von CVE-2017-0148 wurde im globalen Maßstab durch die WannaCry- und NotPetya-Angriffe demonstriert. Eine erfolgreiche Ausnutzung gewährt SYSTEM-Level-Zugriff auf den Zielrechner, die höchste Privilegienstufe auf Windows-Systemen. Die Schwachstelle ist netzwerkseitig ohne Authentifizierung ausnutzbar, wodurch Angreifer Systeme kompromittieren können, indem sie lediglich Netzwerkzugriff auf Port 445 haben. Die wurmfähige Natur ermöglichte automatisierte Verbreitung über Netzwerke, was zu katastrophalen organisatorischen Schäden führte, einschließlich Krankenhaussystem-Ausfällen, Versandlogistik-Lähmung und Fertigungsstillstand. Diese Schwachstelle bleibt eine erhebliche Bedrohung, da viele Legacy-Systeme weiterhin ungepatchtes SMBv1 ausführen.
Exploit-Reifegrad
CVE-2017-0148 ist eine der am umfangreichsten ausgenutzten Schwachstellen der Geschichte und wurde am 6. April 2022 mit bestätigter Ransomware-Nutzung (Known) in den CISA-KEV-Katalog aufgenommen. Der EPSS-Score von 97,5 % (99,9. Perzentil) spiegelt die nahezu universelle Ausnutzung wider. Der EternalBlue-Exploit wurde ursprünglich von der NSA entwickelt und im April 2017 von der Shadow Brokers-Gruppe veröffentlicht. Er wurde anschließend in WannaCry, NotPetya und zahlreiche andere Malware-Kampagnen integriert. Exploit-Code bleibt weithin verfügbar und wird aktiv von Bedrohungsakteuren aller Komplexitätsstufen genutzt.
Behebung
- Wenden Sie das Microsoft-Sicherheitsupdate MS17-010 sofort an, falls noch nicht geschehen, wie vom CISA-KEV-Katalog gefordert. Dieser kritische Patch ist seit März 2017 verfügbar.
- Deaktivieren Sie SMBv1 auf allen Systemen, auf denen es nicht zwingend erforderlich ist. Verwenden Sie PowerShell:
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol. - Blockieren Sie SMB-Verkehr (TCP-Port 445) am Netzwerkperimeter, um externe Ausnutzungsversuche zu verhindern.
- Implementieren Sie Netzwerksegmentierung, um SMB-Verkehr zwischen Systemen zu begrenzen und das Potenzial für laterale wurmartige Verbreitung zu reduzieren.
- Führen Sie eine gründliche Inventarisierung aller Systeme durch, die noch SMBv1 ausführen, und entwickeln Sie einen Migrationsplan zu SMBv2/v3 oder modernen Alternativen.
Technische Details
CVE-2017-0148 existiert im Windows SMBv1-Server-Treiber (srv.sys) und wird durch das Senden speziell gestalteter SMB-Transaktionsanfragen ausgelöst. Die Schwachstelle tritt bei der Verarbeitung von SMB_COM_TRANSACTION2- und SMB_COM_NT_TRANSACT-Anfragen auf, wenn der Server die Felder TotalDataCount und verwandte Werte nicht ordnungsgemäß validiert. Durch Senden einer sorgfältig erstellten Sequenz von SMB-Paketen, die die Speicherzuweisung und Transaktionsverarbeitung des Servers manipuliert, kann ein Angreifer einen Buffer Overflow erreichen, der kritische Kernel-Strukturen überschreibt. Der Exploit nutzt das Kernel-Pool-Allokationsverhalten, um zuverlässige Codeausführung auf SYSTEM-Privilegienebene zu erreichen. Der gesamte Angriff kann remote über TCP-Port 445 ohne jede Form der Authentifizierung durchgeführt werden.
Häufig gestellte Fragen
Was ist CVE-2017-0148?
CVE-2017-0148 ist eine von mehreren Schwachstellen in Microsofts SMBv1-Protokoll, die durch das Sicherheitsupdate MS17-010 behoben wurden. Sie ist Teil der EternalBlue-Exploit-Kette, die in den WannaCry- und NotPetya-Ransomware-Kampagnen eingesetzt wurde. Die Schwachstelle ermöglicht Remote Code Execution mit SYSTEM-Privilegien.
Wie hängt dies mit EternalBlue zusammen?
EternalBlue ist der Exploit-Name für die MS17-010-Schwachstellenfamilie, die CVE-2017-0148 zusammen mit mehreren verwandten SMBv1-Schwachstellen umfasst. Der Exploit wurde von der NSA entwickelt und 2017 von der Shadow Brokers-Gruppe veröffentlicht, wonach er schnell von Ransomware-Operatoren bewaffnet wurde.
Ist mein System 2024 noch gefährdet?
Wenn Ihre Systeme mit Microsoft-Patches von März 2017 oder später aktualisiert wurden, sind sie gegen diese spezifische Schwachstelle geschützt. Organisationen mit Legacy-Systemen, nicht verwalteten Geräten oder Systemen, die nicht aktualisiert werden können, sind möglicherweise noch gefährdet. SMBv1 sollte wo immer möglich deaktiviert werden.
Welche Auswirkungen hatten WannaCry und NotPetya?
WannaCry infizierte im Mai 2017 über 200.000 Systeme in 150 Ländern und verursachte geschätzte Schäden in Milliardenhöhe. NotPetya, das im Juni 2017 zuschlug, verursachte über 10 Milliarden Dollar Schaden und beeinträchtigte große Unternehmen wie Maersk, Merck und FedEx schwer. Beide nutzten CVE-2017-0148 und verwandte SMBv1-Schwachstellen zur Verbreitung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.