Detección de "Bad Neighbor", CVE-2020-16898 (Windows TCP/IP RCE)

Resumen:

Un paquete de detección de red para CVE-2020-16898 (vulnerabilidad de ejecución remota de código en TCP/IP de Windows)

Referencias:

• https://corelight.blog/2020/10/15/zeek-community-activates-to-detect-bad-neighbor-cve-2020-16898/
• https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16898#ID0EUGAC
• Otros paquetes de detección desarrollados de forma independiente y simultánea por la comunidad de Zeek: https://github.com/initconf/CVE-2020-16898-Bad-Neighbor/blob/master/scripts/CVE-2020-16898-Bad-Neighbor.zeek
  https://github.com/esnet-security/cve-2020-16898

Avisos generados :

CVE-2020-16898 exploit detected from %s. https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16898#ID0EUGAC . Details from packet for reference: info=%s , options=%s

Uso, notas y recomendaciones:

• Para usar contra un pcap que ya tienes zeek -Cr scripts/__load__.zeek your.pcap
• Este paquete se ejecutará en entornos con clúster o sin clúster.

Comentarios

• A medida que surjan detalles, estamos deseosos de mejorar este paquete para el beneficio de la comunidad, por favor no dudes en contactar al autor con cualquier sugerencia o comentario.