Eternalghost

• Deutsch
• English

Deutsch

Dieses Repository enthält einen Testfall für CVE-2020-0796

Mit diesem kleinen Skript können Sie überprüfen, ob ein Server von Ihnen verwundbar ist. Das Skript prüft, ob Sie Compression aktiviert haben und die SMB-Version 3.1.1 ist. Das ganze geschieht über einen "negotiate request".

Wie man dieses Skript benutzt

python3 eternalghost.py IP

Umgehungslösungen

Microsoft-Hinweis zum Deaktivieren der SMBv3-Komprimierung - Englisch

Set-ItemProperty -Pfad "HKLM:\SYSTEM\CurrentControlSet\Dienste\LanmanServer\Parameter" Deaktivieren der Kompression -Typ DWORD -Wert 1 -Kraft

Anmerkungen

Wenn Sie eine Perimeter-Firewall haben, sollten Sie in Betracht ziehen, den TCP-Port 445 zu blockieren. Systeme sind von außen nicht anfällig, wenn Sie den Port blockieren. Sie sind weiterhin von innerhalb des Unternehmens-Perimeters verwundbar.

Da es sich um einen "wurmstichigen" Angriff handelt, sollten Sie auch den SMB-Verkehr von seitlichen Verbindungen und den Eintritt oder Austritt aus Ihrem Netzwerk verhindern. Verhindern von unkontrolliertem SMB Verkehr in Ihrem Netzwerk

Nähere Informationen finden Sie auf dem AWARE7 Blog

Derzeit anfällige Systeme

• Windows 10 Version 1903 für 32-Bit-Systeme
• Windows 10 Version 1903 für ARM64-basierte Systeme
• Windows 10 Version 1903 für x64-basierte Systeme
• Windows 10 Version 1909 für 32-Bit-Systeme
• Windows 10 Version 1909 für ARM64-basierte Systeme
• Windows 10 Version 1909 für x64-basierte Systeme
• Windows Server, Version 1903 (Server Core-Installation)
• Windows Server, Version 1909 (Server Core-Installation)

Im Rahmen unserer Pentetrationstests überprüfen wir Ihre Systeme auch auf diese Schwachstelle.

English

Questo repository contiene un test case per CVE-2020-0796

Con questo piccolo script puoi verificare se un tuo server è vulnerabile. Lo script controlla la capacità di compressione e la versione SMB 3.1.1 tramite una richiesta di negoziazione.

Come usare questo script

python3 eternalghost.py IP

Soluzioni alternative

Avviso Microsoft sulla disabilitazione della compressione SMBv3

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" DisableCompression -Type DWORD -Value 1 -Force

Note

Se disponi di un firewall perimetrale, dovresti considerare di bloccare la porta TCP 445. I sistemi non sono vulnerabili dall'esterno se blocchi questa porta. Sarai comunque vulnerabile dall'interno del perimetro aziendale

Poiché l'attacco è "wormable" (propagabile), dovresti anche impedire il traffico SMB da connessioni laterali e l'ingresso o l'uscita dalla tua rete. Prevenire il traffico SMB da connessioni laterali e ingresso/uscita dalla rete

Trova maggiori informazioni sul nostro blog AWARE7

Sistemi attualmente vulnerabili

• Windows 10 Versione 1903 per sistemi a 32 bit
• Windows 10 Versione 1903 per sistemi basati su ARM64
• Windows 10 Versione 1903 per sistemi basati su x64
• Windows 10 Versione 1909 per sistemi a 32 bit
• Windows 10 Versione 1909 per sistemi basati su ARM64
• Windows 10 Versione 1909 per sistemi basati su x64
• Windows Server, versione 1903 (installazione Server Core)
• Windows Server, versione 1909 (installazione Server Core)

Come parte dei nostri test di penetrazione, controlliamo anche i tuoi sistemi per questa vulnerabilità.