티스토리 뷰

728x90
반응형

[CVE 취약점] MS SMBv3 프로토콜 취약점(CVE-2020-0796)


참조

https://www.boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=35295

https://blog.alyac.co.kr/2818


개요

MS는 SMBv3(Service Message Block) 프로토콜에서 발생하는 취약점 주의 발표

공격자는 해당 취약점을 악용하여 원격코드 실행 등의 피해를 발생시킬 수 있으므로, 임시 해결방안에 따라 조치 권고

  ※ MS는 해당 취약점이 해결된 패치 파일 공개


SMBv3 프로토콜이 조작된 패킷을 처리할 때 버퍼오버플로우로 인해 발생하는 원격코드실행 취약점(CVE-2020-0796)


영향 받는 제품 버전

Windows 10

- 1903(32비트, 64비트, ARM64 기반 시스템)

- 1909(32비트, 64비트, ARM64 기반 시스템)

Windows 서버(Server Core installation)

- 1903, 1909


방안

1. 운영체제 내 SMBv3 압축 기능 해제 설정

- 시작 -> Windows Powershell -> 우클릭 -> 관리자 권한으로 실행

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" DisableCompression -Type DWORD -Value 1 -Force

  ※ 설정 변경 후 재부팅 불필요


- SMBv3 설정 복구 방법

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" DisableCompression -Type DWORD -Value 0 -Force


2. 네트워크 방화벽 및 Windows 방화벽을 이용하여 SMB 445(TCP) 포트 차단


Snort  

alert tcp any any -> any 445 (sid:1; gid:1; 
content:"|fe 53 4d 42|"; offset:4; depth:10; 
content:"|00 00 00 00|"; distance:6; 
content:"|11 03|"; distance:86; within:20; 
content:"|03 00|"; distance:2; 
content:"|00 00 00 00 00 |"; distance:1; within:5; 
content:"|00 00 00 00 00 |"; distance:1; within:5; 
reference:url,blog.claroty.com/advisory-new-wormable-vulnerability-in-microsoft-smbv3;
msg:"SMBv3_CVE-2020-0796";)

alert tcp any 445 -> any any (sid:1; gid:1; 
content:"|fe 53 4d 42|"; offset:4; depth:10; 
content:"|00 00 00 00 00 00|"; distance:4; 
content:"|11 03|"; distance:50; within:8; 
content:"|03 00 |"; distance:64; within:400; 
content:"|00 00 00 00 00 |"; distance:1; 
content:"|00 00 00 00 00 |"; distance:1; 
reference:url,blog.claroty.com/advisory-new-wormable-vulnerability-in-microsoft-smbv3;
msg:"SMBv3_CVE-2020-0796_";)




728x90
반응형
댓글
250x250
공지사항
최근에 올라온 글
최근에 달린 댓글
Total
Today