首页 > 安全 > 网络安全 >

Windows SMBv3 Tree Connect响应拒绝服务漏洞

2017-02-16

Windows SMBv3 Tree Connect响应拒绝服务漏洞。近期,微软爆出高危 SMB TreeConnect 响应拒绝服务漏洞,编号为CNNVD-201702-204(CVE-2017-0016)。

Windows SMBv3 Tree Connect响应拒绝服务漏洞。近期,微软爆出高危 SMB TreeConnect 响应拒绝服务漏洞,编号为CNNVD-201702-204(CVE-2017-0016)。攻击者利用该漏洞通过诱使有漏洞的 SMB 客户端连接到一台恶意构造的 SMB 服务器,导致客户端操作系统系统蓝屏崩溃。为了让大家更直观的了解漏洞造成的危害,千里目安全实验室倾力打造漏洞演示视频供大家观赏。

千里百科Microsoft 服务器消息块 (SMB) 协议是 Microsoft Windows 中使用的一项 Microsoft 网络文件共享协议。在大部分 windows 系统中都是默认开启的,用于在计算机间共享文件、打印机等。漏洞分析

在演示环境中,首先搭建一个恶意的 SMB 服务器(图左),诱使客户端(图右)发起请求:

\

客户端发起请求,导致系统蓝屏崩溃:

\

根据漏洞复现,导致系统崩溃的情况,找到错误日志:

\

进一步追踪,查看崩溃时内存转储信息:

\

经分析调试发现,此时上图中参数 rcx 为 0,是空指针,当 SMBv3 Tree Connect 应答字符超过一定数量的时候,导致此空指针引用异常,引发系统蓝屏崩溃。

漏洞影响

据统计,在 1 月份全球 PC 操作系统市场上,微软 Windows 系统占据了九成以上份额,其中最新的 Windows 10 的份额突破了 25%,这意味着在每四台电脑上,就有一台运行了微软最新、最强大的 Windows 10 操作系统。此漏洞主要影响 Windows Server 2012/2016、Win8/8.1 以及 Win10 系统。攻击者伪装成一个恶意 SMB 服务器,诱使客户端发起 SMB 请求来触发漏洞,导致客户端拒绝服务。

POC:https://github.com/lgandx/PoC/tree/master/SMBv3%20Tree%20Connect漏洞修复建议

1、此漏洞存在于 SMB 客户端(mrxsmb20.sys),已公开的 POC 可以导致系统崩溃,并且微软尚未发布补丁。攻击者可以通过 445 等远程端口,或中间人攻击,或网页诱骗用户点击触发漏洞。千里目安全实验室建议企业客户可以将本地网络至广域网的外传 SMB 连接屏蔽掉(TCP 139/445 端口、以及 UDP 137/138 端口)。

2、使用深信服下一代防火墙的用户请升级 IPS 规则库到 20170207 及其以上版本,可轻松防御针对此漏洞的攻击。

相关文章
最新文章
热点推荐