Eternalghost

• Deutsch
• English

Deutsch

Dieses Repository enthält einen Testfall für CVE-2020-0796

Com este pequeno script você pode verificar se um servidor seu é vulnerável. O script verifica se a compressão está ativada e a versão SMB 3.1.1. Tudo isso acontece por meio de um "negotiate request".

Como usar este script

python3 eternalghost.py IP

Soluções alternativas

Aviso da Microsoft sobre desativação da compressão SMBv3 - Inglês

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Dienste\LanmanServer\Parameter" Deaktivieren der Kompression -Typ DWORD -Wert 1 -Kraft

Notas

Se você tiver um firewall de perímetro, considere bloquear a porta TCP 445. Os sistemas não são vulneráveis externamente se você bloquear esta porta. Você ainda estará vulnerável dentro do perímetro corporativo.

Como o ataque é "wormable", você também deve impedir o tráfego SMB de conexões laterais e de entrar ou sair da sua rede. Prevenindo tráfego SMB descontrolado em sua rede

Mais informações podem ser encontradas no Blog da AWARE7

Sistemas atualmente vulneráveis

• Windows 10 Version 1903 for 32-bit Systems
• Windows 10 Version 1903 for ARM64-based Systems
• Windows 10 Version 1903 for x64-based Systems
• Windows 10 Version 1909 for 32-bit Systems
• Windows 10 Version 1909 for ARM64-based Systems
• Windows 10 Version 1909 for x64-based Systems
• Windows Server, version 1903 (Server Core installation)
• Windows Server, version 1909 (Server Core installation)

Como parte de nossos testes de penetração, também verificamos seus sistemas para esta vulnerabilidade.

English

English

Este repositório contém um caso de teste para CVE-2020-0796

Com este pequeno script você pode verificar se um servidor seu é vulnerável. O script verifica a capacidade de compressão e a versão SMB 3.1.1 por meio de uma solicitação de negociação.

Como usar este script

python3 eternalghost.py IP

Soluções alternativas

Aviso da Microsoft sobre desativação da compressão SMBv3

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" DisableCompression -Type DWORD -Value 1 -Force

Notas

Se você tiver um firewall de perímetro, considere bloquear a porta TCP 445. Os sistemas não são vulneráveis externamente se você bloquear esta porta. Você ainda estará vulnerável dentro do perímetro corporativo

Como o ataque é "wormable", você também deve impedir o tráfego SMB de conexões laterais e de entrar ou sair da sua rede. Prevenindo tráfego SMB de conexões laterais e de entrar/sair da sua rede

Encontre mais informações em nosso Blog da AWARE7

Sistemas atualmente vulneráveis

• Windows 10 Version 1903 for 32-bit Systems
• Windows 10 Version 1903 for ARM64-based Systems
• Windows 10 Version 1903 for x64-based Systems
• Windows 10 Version 1909 for 32-bit Systems
• Windows 10 Version 1909 for ARM64-based Systems
• Windows 10 Version 1909 for x64-based Systems
• Windows Server, version 1903 (Server Core installation)
• Windows Server, version 1909 (Server Core installation)

Como parte de nossos testes de penetração, também verificamos seus sistemas para esta vulnerabilidade.