九游老哥云
「误差通告」微软SMBv3远程代码执行误差(CVE-2020-0796)
2020-03-11
综述
北京时间3月11日，微软宣布了3月清静补丁更新，其中包括一条清静通告称其已经相识到在Microsoft Server Message Block 3.1.1(SMBv3)中保存一个远程代码执行误差，乐成使用该误差的攻击者可以在目的SMB服务器或SMB客户端上执行代码 。现在微软官方没有提供清静补丁，可是提供了缓解步伐 。
参考链接：
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/adv200005
误差概述
该误差源于SMBv3协议关于特定请求的处置惩罚方法保存过失，攻击者可以在未经身份验证的情形下使用该误差 。
若要针对SMBv3服务器，攻击者可以将特制的数据包发送到SMB服务器来触发 。若要针对SMBv3客户端，攻击者需要设置好一个恶意的SMB服务器，并诱使用户毗连该服务器 。
另据多方研究职员称，该误差（CVE-2020-0796）具有蠕虫特征 。
受影响版本
- Windows 10 Version 1903 for 32-bit Systems
- Windows 10 Version 1903 for ARM64-based Systems
- Windows 10 Version 1903 for x64-based Systems
- Windows 10 Version 1909 for 32-bit Systems
- Windows 10 Version 1909 for ARM64-based Systems
- Windows 10 Version 1909 for x64-based Systems
- Windows Server, version 1903 (Server Core installation)
- Windows Server, version 1909 (Server Core installation)
缓解计划
微软虽然此次没有宣布该误差的清静补丁，可是提供了缓解步伐，建议用户尽快接纳相关暂时防护步伐 。
用户可以通过以下Powershell下令来禁用SMBv3 Server的compression来暂时防护：
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" DisableCompression -Type DWORD -Value 1 –Force
注：以上下令不需要重启即可生效 。以上下令仅可以用来暂时防护针对SMB服务器（SMB SERVER）的攻击，攻击者照旧可以使用该误差来攻击SMB客户端（SMB Client） 。
除此之外，用户还可以在防火墙做好清静战略阻止SMB通讯流出企业内部，详情请参考微软官方通告指南：
https://support.microsoft.com/zh-cn/help/3185535/preventing-smb-traffic-from-lateral-connections
