Détection de "Bad Neighbor", CVE-2020-16898 (RCE TCP/IP Windows)

Résumé :

Un package de détection réseau pour CVE-2020-16898 (vulnérabilité d'exécution de code à distance TCP/IP Windows)

Références :

• https://corelight.blog/2020/10/15/zeek-community-activates-to-detect-bad-neighbor-cve-2020-16898/
• https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16898#ID0EUGAC
• Autres packages de détection développés indépendamment et en parallèle par la communauté Zeek : https://github.com/initconf/CVE-2020-16898-Bad-Neighbor/blob/master/scripts/CVE-2020-16898-Bad-Neighbor.zeek
  https://github.com/esnet-security/cve-2020-16898

Notices générées :

CVE-2020-16898 exploit detected from %s. https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16898#ID0EUGAC . Details from packet for reference: info=%s , options=%s

Utilisation, notes et recommandations :

• Pour l'utiliser sur un pcap que vous avez déjà zeek -Cr scripts/__load__.zeek your.pcap
• Ce package fonctionnera dans des environnements en cluster ou non.

Retours

• À mesure que les détails apparaissent, nous tenons à améliorer ce package au bénéfice de la communauté. N'hésitez pas à contacter l'auteur avec toutes vos suggestions et remarques.