"Bad Neighbor" 検知、CVE-2020-16898 (Windows TCP/IP RCE)

概要:

CVE-2020-16898 (Windows TCP/IP リモートコード実行の脆弱性) を検知するためのネットワーク検知パッケージ

参照:

• https://corelight.blog/2020/10/15/zeek-community-activates-to-detect-bad-neighbor-cve-2020-16898/
• https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16898#ID0EUGAC
• Zeek コミュニティによって独立かつ並行して開発された他の検知パッケージ: https://github.com/initconf/CVE-2020-16898-Bad-Neighbor/blob/master/scripts/CVE-2020-16898-Bad-Neighbor.zeek
  https://github.com/esnet-security/cve-2020-16898

発生する通知:

CVE-2020-16898 exploit detected from %s. https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16898#ID0EUGAC . Details from packet for reference: info=%s , options=%s

使用方法、注意事項、推奨事項:

• 既存の pcap に対して使用するには zeek -Cr scripts/__load__.zeek your.pcap を実行します。
• このパッケージはクラスター環境および非クラスター環境の両方で動作します。

フィードバック

• 詳細が明らかになり次第、コミュニティのためにこのパッケージを改良していきたいと考えています。ご提案やフィードバックがございましたら、お気軽に作者までご連絡ください。