SMBleed (CVE-2020-1206) Yeni Kritik SMB Zafiyeti

SMBleed (CVE-2020-1206) Yeni Kritik SMB Zafiyeti

Güvenlik araştırmacıları Sunucu İleti Bloğu ( SMB) protokolünü etkileyen ve saldırganların kernel memory’e uzaktan sızmasına izin verebilecek SMBleed adında yeni bir kritik güvenlik açığını ortaya çıkardı ve daha önce yayınlanmış olan SMB Protokolüne ait zafiyet ile birleştirildiğinde, uzaktan kod yürütme saldırılarını gerçekleştirmek için bu zafiyetten yararlanılabilir.

Siber Güvenlik Firması ZecOps tarafından “SMBleed”(CVE-2020-1206) olarak adlandırılan zafiyet, SMB’nin üç ay önce bulunan, potansiyel olarak ağlarda yayılabilen malware saldırılarına olanak sağlayan SMBGhost yada EternalDarkness (CVE-2020-0796) zafiyetlerindeki ile aynı fonksiyondan kaynaklı olmaktadır.

Yeni keşfedilen güvenlik açığı, Microsoft’un Haziran ayındaki aylık olarak yayınladığı Patch Tuesday güncelleştirmelerinin bir parçası olarak güvenlik düzeltme ekleri yayımladığı Windows 10 1903 ve 1909 sürümlerini etklilemektedir.

Gelişme, ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı’nın (CISA), geçen hafta online olarak SMBGhost zafiyeti için exploit kodunun yayınlanmasından sonra Windows 10 kullanıcılarını makinelerini güncellemeleri konusunda uyaran bir rapor yayınlamasıyla gerçekleşti. SMBGhost zafiyeti o kadar ciddiye alındı ki, zafiyet skoru 10 olarak belirlenmişti.

SMBleed PoC

CISA, “Microsoft, Mart 2020’de bu güvenlik açığıyla ilgili güncelleştirmeleri yayınlamasına ve güncellemelere rağmen, son zamanlardaki açık kaynak raporlara göre, kötü niyetli siber aktörler yeni PoC ile yamalanmamış, zafiyetin bulunduğu sistemleri hedefliyor.” şeklinde bir açıklamada bulundu.

Kısaca bahsedecek olursak 445 TCP portu üzerinde çalışan SMB protokolü, ağ üzerinde dosya paylaşımı, ağ tarama, yazdırma hizmetleri ve süreçler arası iletişim için temel sağlayan bir ağ protokolüdür.

ZecOps araştırmacılarına göre zafiyet, SMBv3 Sunucusuna gönderilen özel hazırlanmış mesaj isteklerini işleyen söz konusu decompression fonksiyonundan (“Srv2DecompressData”), saldırganın başlatılmamış çekirdek belleğini okumasına ve sıkıştımra fonksiyonu üzerinde değişiklikler yapmasına izin vermesinden kaynaklanmaktadır.

Araştırmacılar, “İleti yapısı, yazılacak bayt miktarı ve bayraklar, ardından değişken uzunlukta bir arabellek gibi alanlar içeriyor.” dedi. “Header bilgisini belirleyeceğimiz bir ileti oluşturabilecek olmak zafiyetten yararlanmak için mükemmeldir, ancak değişken uzunluklu arabellek başlatılmamış veriler içeriyor.”

“Güvenlik açığından başarıyla yararlanan bir saldırgan, kullanıcının sisteminden daha fazla ödün vermek için bilgi alabilir. Sunucudaki güvenlik açığından yararlanmak için, kimliği doğrulanmamış bir saldırgan, hedeflenen bir SMBv3 sunucusuna özel hazırlanmış bir paket gönderebilir.” Microsoft.

“İstemciye karşı güvenlik açığından yararlanmak için, kimliği doğrulanmamış bir saldırganın kötü amaçlı bir SMBv3 sunucusu yapılandırması ve kullanıcıyı bu sunucuya bağlanmaya ikna etmesi gerekir.” Microsoft.

Zafiyetin Sömürülmesi

OriginalCompressedSegmentSize alanını çok büyük bir sayı olarak ayarlanarak integer overflow ile SMBGhost zafiyetinden yararlanılmıştı. Burada ise araştırmacılar gönderilen gerçek sıkıştırılmış verilerden biraz daha büyük bir sayı olarak ayarlandığında ne olur yaklaşımı ile istismar işlemini gerçekleştirmişlerdir. Örnek olarak sıkıştırılmış verilerin boyutu dekompresyon işleminden sonra ” x  “ ise ve OriginalCompressionSegmentSize değeri “ x + 0x1000” olarak ayarlanır ise aşağıdaki gibi bir sonuç elde edilir.

Başlatılmamış çekirdek verileri mesajın bir parçası olarak ele alınacaktır.

Daha da kötüsü, SMBleed yamalanmamış Windows 10 sistemlerinde SMBGhost ile birleştirilerek uzaktan kod yürütülmesi mümkün kılınabilir. Firma ayrıca bir PoC ve exploit kodu yayınladı. İlgili linke buradan ulaşabilirsiniz.

SMBleed + SMBGhost

İlgili güncellemelerin yüklü olduğu etkilenen Windows sürümleri

Windows 10 Version 2004

UpdateSMBGhostSMBleed
KB4557957Zafiyetli değilZafiyetli değil
Before KB4557957Zafiyetli değilZafiyetli

Windows 10 Version 1909

UpdateSMBGhostSMBleed
KB4560960Zafiyetli değilZafiyetli değil
KB4551762Zafiyetli değilZafiyetli
KB4551762 öncesiZafiyetliZafiyetli

Windows 10 Version 1903

UpdateNull Deference BugSMBGhostSMBleed
KB4560960DüzeltildiZafiyetli değilZafiyetli değil
KB4551762DüzeltildiZafiyetli değilZafiyetli
KB4512941DüzeltildiZafiyetliZafiyetli
Yukarıdaki versiyonlar dışındaDüzeltillmediZafiyetliPotansiyel olarak zafiyetli

Kaynak :

https://blog.zecops.com/vulnerabilities/smbleedingghost-writeup-chaining-smbleed-cve-2020-1206-with-smbghost/

https://thehackernews.com/2020/06/SMBleed-smb-vulnerability.html

Related Posts

Facebook Comments