【CNNVD-201702-204】Windows SMBv3 Tree Connect响应拒绝服务漏洞

漏洞描述

近期,微软爆出高危 SMB TreeConnect 响应拒绝服务漏洞,编号为CNNVD-201702-204(CVE-2017-0016)。攻击者利用该漏洞通过诱使有漏洞的 SMB 客户端连接到一台恶意构造的 SMB 服务器,导致客户端操作系统系统蓝屏崩溃。为了让大家更直观的了解漏洞造成的危害,千里目安全实验室倾力打造漏洞演示视频供大家观赏。

千里百科

Microsoft 服务器消息块 (SMB) 协议是 Microsoft Windows 中使用的一项 Microsoft 网络文件共享协议。在大部分 windows 系统中都是默认开启的,用于在计算机间共享文件、打印机等。
漏洞分析

在演示环境中,首先搭建一个恶意的 SMB 服务器(图左),诱使客户端(图右)发起请求:

1

客户端发起请求,导致系统蓝屏崩溃:

1

根据漏洞复现,导致系统崩溃的情况,找到错误日志:

1

进一步追踪,查看崩溃时内存转储信息:

1

经分析调试发现,此时上图中参数 rcx 为 0,是空指针,当 SMBv3 Tree Connect 应答字符超过一定数量的时候,导致此空指针引用异常,引发系统蓝屏崩溃。

漏洞影响

据统计,在 1 月份全球 PC 操作系统市场上,微软 Windows 系统占据了九成以上份额,其中最新的 Windows 10 的份额突破了 25%,这意味着在每四台电脑上,就有一台运行了微软最新、最强大的 Windows 10 操作系统。此漏洞主要影响 Windows Server 2012/2016、Win8/8.1 以及 Win10 系统。攻击者伪装成一个恶意 SMB 服务器,诱使客户端发起 SMB 请求来触发漏洞,导致客户端拒绝服务。

POC:https://github.com/lgandx/PoC/tree/master/SMBv3%20Tree%20Connect

漏洞修复建议

1、此漏洞存在于 SMB 客户端(mrxsmb20.sys),已公开的 POC 可以导致系统崩溃,并且微软尚未发布补丁。攻击者可以通过 445 等远程端口,或中间人攻击,或网页诱骗用户点击触发漏洞。千里目安全实验室建议企业客户可以将本地网络至广域网的外传 SMB 连接屏蔽掉(TCP 139/445 端口、以及 UDP 137/138 端口)。

2、使用深信服下一代防火墙的用户请升级 IPS 规则库到 20170207 及其以上版本,可轻松防御针对此漏洞的攻击。

文章出处:深信服安全实验室 CNNVD安全动态

本文由 华盟网 作者:congtou 发表,其版权均为 华盟网 所有,文章内容系作者个人观点,不代表 华盟网 对观点赞同或支持。如需转载,请注明文章来源。

0

发表评论

// 360自动收录 // 360自动收录