CVE-2020-0796
Microsoft SMBv3 Remote Code Execution Vulnerability
Beschreibung
CVE-2020-0796 ist eine kritische Unsachgemäße Einschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers-Schwachstelle in Microsoft SMBv3 mit einem CVSS-3.1-Score von 10. Die Schwachstelle ermöglicht es Angreifern, über das Netzwerk ohne vorherige Authentifizierung ohne Benutzerinteraktion beliebigen Code auszuführen oder das System zu kompromittieren. Betroffene Produkte umfassen Microsoft Windows 10 1903, Microsoft Windows 10 1909, Microsoft Windows Server 1903, Microsoft Windows Server 1909. Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet mit einer Behebungsfrist bis zum 2022-08-10. Der CISA-KEV-Katalog bestätigt einen Zusammenhang mit Ransomware-Kampagnen. Der EPSS-Score von 0.94408 (99,98. Perzentile) belegt eine hohe reale Ausnutzungswahrscheinlichkeit und erfordert eine priorisierte Behebung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1903 | - |
| microsoft | windows 10 1909 | - |
| microsoft | windows server 1903 | - |
| microsoft | windows server 1909 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/156731/CoronaBlue-SMBGhost-Microsoft-Windows-10-SMB-3.1.1-Proof-Of-Concept.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/156732/Microsoft-Windows-SMB-3.1.1-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/156980/Microsoft-Windows-10-SMB-3.1.1-Local-Privilege-Escalation.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/157110/SMBv3-Compression-Buffer-Overflow.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/157901/Microsoft-Windows-SMBGhost-Remote-Code-Execution.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/158054/SMBleed-SMBGhost-Pre-Authentication-Remote-Code-Execution-Proof-Of-Concept.html(Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0796(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-0796(US Government Resource)
Schwachstellentyp
CWE-119: Unsachgemäße Einschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers
CVE-2020-0796 wird unter CWE-119 klassifiziert — Unsachgemäße Einschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers. Unsachgemäße Einschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers tritt auf, wenn Software Operationen an einem Speicherpuffer ausführt, aber aus einem Speicherbereich lesen oder in einen Speicherbereich schreiben kann, der außerhalb der beabsichtigten Grenze des Puffers liegt. Dies ist die übergeordnete Kategorie für viele spezifische Pufferfehlertypen, einschließlich Buffer Overflows (CWE-120), Buffer Underflows, Out-of-Bounds-Leseoperationen (CWE-125) und Out-of-Bounds-Schreiboperationen (CWE-787). Diese Schwachstellen treten auf, wenn Array-Indizes, Pointer-Arithmetik oder Größenberechnungen den Zugriff über die zugewiesenen Speicherbereiche hinaus ermöglichen.
Im Kontext von Microsoft SMBv3 ist diese Schwachstellenklasse besonders besorgniserregend, da Speicherpufferfehler gehören konstant zu den am häufigsten ausgenutzten Schwachstellenklassen. Out-of-Bounds-Schreiboperationen können angrenzenden Speicher überschreiben, einschließlich Rücksprungadressen, Funktionszeigern und sicherheitskritischen Daten. Out-of-Bounds-Leseoperationen können sensible Informationen preisgeben, einschließlich kryptographischer Schlüssel und Speicherlayout (wodurch ASLR umgangen wird). Organisationen, die betroffene Versionen einsetzen, sollten verstehen, dass diese Schwachstellenklasse historisch schwere Kompromittierungen in Unternehmensumgebungen ermöglicht hat.
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung gewährt dem Angreifer umfassenden Zugriff auf sensible Daten, die von Microsoft SMBv3 verarbeitet werden, einschließlich Konfigurationsdateien, Zugangsdaten und potenziell Daten verbundener Systeme.
Integrität (HIGH): Angreifer können kritische Systemdateien modifizieren, Backdoors installieren, Konfigurationen ändern oder Malware auf betroffenen Systemen mit Microsoft SMBv3 einschleusen.
Verfügbarkeit (HIGH): Eine vollständige Unterbrechung des betroffenen Dienstes oder Systems ist möglich, einschließlich Denial-of-Service, Systemabstürze oder das Unbrauchbarmachen des Produkts.
Scope: Der Scope ist Changed (C), was bedeutet, dass die Auswirkungen über die direkt betroffene Komponente hinausgehen können. Die Kompromittierung von Microsoft SMBv3 kann als Ausgangspunkt für Angriffe auf weitere verbundene Systeme und Ressourcen dienen.
Mit einem EPSS-Score von 0.94408 (99,98. Perzentile) gehört diese Schwachstelle zu den am häufigsten in der Praxis ausgenutzten und erfordert dringende Maßnahmen.
Exploit-Reifegrad
Exploit-Status: CVE-2020-0796 wird aktiv in der Praxis ausgenutzt und ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet. Der EPSS-Score von 0.94408 (99,98. Perzentile) bestätigt eine extrem hohe reale Ausnutzungswahrscheinlichkeit.
Ransomware-Bezug: Der CISA-KEV-Katalog bestätigt einen bekannten Zusammenhang zwischen CVE-2020-0796 und Ransomware-Kampagnen. Bedrohungsakteure haben diese Schwachstelle als Teil von Ransomware-Angriffsketten für den initialen Zugang oder die laterale Bewegung eingesetzt.
Öffentliche Exploits: Exploit-Code ist öffentlich verfügbar, unter anderem bei packetstormsecurity.com und packetstormsecurity.com. Die Verfügbarkeit von öffentlichem Exploit-Code senkt die Hürde für die Ausnutzung erheblich.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-08-10. Alle Organisationen sollten diese Frist als dringende Empfehlung für ihre eigenen Behebungszeiträume betrachten.
Behebung
- Hersteller-Patches umgehend anwenden. Wenden Sie Updates gemäß den Anweisungen des Herstellers an. Konsultieren Sie den Herstellerhinweis unter portal.msrc.microsoft.com für spezifische Patch-Informationen.
- Betroffene Produktversionen identifizieren. Erfassen Sie alle Instanzen von Microsoft SMBv3 in Ihrer Infrastruktur (betroffene Versionen: Microsoft Windows 10 1903, Microsoft Windows 10 1909, Microsoft Windows Server 1903, Microsoft Windows Server 1909). Nutzen Sie Asset-Inventarisierung und Schwachstellen-Scanner, um keine Instanz zu übersehen.
- Interim-Maßnahmen bei verzögertem Patching umsetzen. Falls sofortiges Patching nicht möglich ist, implementieren Sie Netzwerkebene-Kontrollen wie Zugangsbeschränkungen zur betroffenen Komponente, erweitertes Logging und Monitoring auf Kompromittierungsindikatoren.
- Auf Anzeichen vorheriger Kompromittierung prüfen. Angesichts der bestätigten aktiven Ausnutzung überprüfen Sie Systemprotokolle und Sicherheits-Monitoring-Daten auf Hinweise einer Kompromittierung. Führen Sie bei verdächtigen Aktivitäten eine gründliche Untersuchung durch.
- Erkennungssignaturen aktualisieren. Stellen Sie sicher, dass IDS/IPS-Systeme, Endpoint-Detection-Tools und SIEM-Regeln aktualisiert sind, um Ausnutzungsversuche gegen CVE-2020-0796 zu erkennen.
- Post-Remediation-Review durchführen. Verifizieren Sie nach dem Patching die Wirksamkeit der Behebung und dokumentieren Sie die durchgeführten Maßnahmen. Bewerten Sie, ob zusätzliche Härtungsmaßnahmen erforderlich sind.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Keine
Technischer Ablauf: Die Schwachstelle in Microsoft SMBv3 kann über das Netzwerk ohne physischen Zugang ausgenutzt werden. Die Angriffskomplexität ist niedrig — es sind keine spezialisierten Bedingungen über die Angriffsvoraussetzungen hinaus erforderlich. Es sind keine vorherigen Authentifizierungen oder Berechtigungen erforderlich. Keine Benutzerinteraktion ist erforderlich, was eine vollautomatische Ausnutzung ermöglicht.
Schwachstellenmechanismus: Unsachgemäße Einschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers tritt auf, wenn Software Operationen an einem Speicherpuffer ausführt, aber aus einem Speicherbereich lesen oder in einen Speicherbereich schreiben kann, der außerhalb der beabsichtigten Grenze des Puffers liegt. Dies ist die übergeordnete Kategorie für viele spezifische Pufferfehlertypen, einschließlich Buffer Overflows (CWE-120), Buffer Underflows, Out-of-Bounds-Leseoperationen (CWE-125) und Out-of-Bounds-Schreiboperationen (CWE-787). Diese Schwachstellen treten auf, wenn Array-Indizes, Pointer-Arithmetik oder Größenberechnungen den Zugriff über die zugewiesenen Speicherbereiche hinaus ermöglichen..
Betroffene Produkte: Microsoft Windows 10 1903, Microsoft Windows 10 1909, Microsoft Windows Server 1903, Microsoft Windows Server 1909
CVSS-3.1-Bewertung: Der Score von 10 (KRITISCH) reflektiert die Kombination aus netzwerkbasiertem Angriffsvektor, niedriger Komplexität und erweitertem Scope, der über die betroffene Komponente hinausgeht.
Häufig gestellte Fragen
Wird CVE-2020-0796 aktiv ausgenutzt?
Ja, CVE-2020-0796 wird aktiv ausgenutzt. Die Schwachstelle ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet, steht in Verbindung mit Ransomware-Kampagnen und weist einen EPSS-Score von 0.94408 (99,98. Perzentile) auf, der eine extrem hohe Ausnutzungswahrscheinlichkeit bestätigt.
Welche Produkte sind von CVE-2020-0796 betroffen?
Von CVE-2020-0796 sind folgende Produkte betroffen: Microsoft Windows 10 1903, Microsoft Windows 10 1909, Microsoft Windows Server 1903, Microsoft Windows Server 1909. Organisationen sollten ihre Infrastruktur auf diese Versionen prüfen und die Behebung priorisieren. Aktuelle Informationen zu betroffenen Versionen und Patches sind in den offiziellen Herstellerhinweisen verfügbar.
Wie behebe ich CVE-2020-0796?
Wenden Sie Updates gemäß den Anweisungen des Herstellers an. Identifizieren Sie alle betroffenen Instanzen von Microsoft SMBv3 in Ihrer Umgebung mittels Schwachstellen-Scanning und Asset-Management. Falls sofortiges Patching nicht möglich ist, implementieren Sie Netzwerk-Mitigierungen und erweitertes Monitoring. Prüfen Sie nach dem Patching auf Anzeichen einer vorherigen Kompromittierung.
Wie schwerwiegend ist CVE-2020-0796?
CVE-2020-0796 ist mit einem CVSS-Score von 10 als KRITISCH eingestuft. Der EPSS-Score von 0.94408 (99,98. Perzentile) belegt eine der höchsten realen Ausnutzungswahrscheinlichkeiten. Die CISA-Behebungsfrist war der 2022-08-10. Ein Zusammenhang mit Ransomware-Kampagnen wurde bestätigt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.