漏洞预警┃Windows SMBv3 高危漏洞被公开
2026-10-21 20:35:44
Windows SMBv3存在高危漏洞（CVE-2020-0796），攻击者可利用该漏洞在目标系统上执行任意代码，需立即采取防护措施。
一、漏洞核心信息- 漏洞名称：Windows SMBv3 远程代码执行漏洞（CVE-2020-0796），别名“SMBGhost”。
- 影响范围：
Windows 10 1903版、1909版
Windows Server 1903版、1909版
可能波及Windows 8及Server 2012等引入SMB 3.0的版本。
- 漏洞危害：
攻击者可通过发送特制数据包或诱骗用户连接恶意服务器，在目标系统上执行任意代码。
漏洞易被利用为“蠕虫”攻击，导致大规模传播（类似WannaCry、NotPetya）。
- 当前状态：微软未在2020年3月补丁中修复该漏洞，目前仅公开检测手段及概念验证（POC），暂无公开的攻击代码（EXP），但存在被利用风险。
- 攻击方式：
针对服务器：攻击者向目标SMBv3服务器发送特制数据包，无需身份验证即可触发漏洞。
针对客户端：攻击者需配置恶意SMBv3服务器，通过钓鱼攻击诱骗用户连接。
- 协议背景：
SMB（Server Message Block）协议用于文件共享、网络打印及进程间通信，TCP端口445为其默认通信端口。
SMB 3.0引入压缩功能以提升性能，但该漏洞源于压缩功能的实现缺陷。
- 防护难点：
禁用SMBv3压缩仅能缓解服务器端风险，无法阻止客户端被利用。
漏洞影响核心系统组件，传统安全软件可能无法完全拦截。
在微软发布正式补丁前，建议采取以下措施降低风险：
- 禁用SMBv3压缩：
通过修改注册表禁用压缩功能（需重启生效）：
Set-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetServicesLanmanServerParameters" DisableCompression -Type DWORD -Value 1 -Force - 阻断网络访问：
在防火墙或路由器上封锁TCP端口445，阻止外部SMB通信。
- 限制网络暴露：
关闭不必要的SMB服务，避免将系统暴露在公网。
- 加强监控：
部署入侵检测系统（IDS）监控异常SMB流量。
定期检查系统日志，关注端口445的异常连接。
- 及时更新补丁：
关注微软官方安全公告，第一时间安装修复CVE-2020-0796的补丁。
- 升级系统版本：
将受影响系统升级至微软确认安全的版本（如Windows 10 2004版及以上）。
- 最小化网络权限：
遵循最小权限原则，限制用户对共享文件夹的访问权限。
- 漏洞概述：
漏洞名称：ZoneAlarm TrueVector Internet Monitor服务不安全NTFS权限漏洞。
影响版本：ZoneAlarm Free Firewall v15.8.023.18219及TrueVector Internet Monitor v15.8.7.18219。
漏洞危害：本地攻击者可利用服务备份文件的不安全权限，通过创建硬链接覆盖系统文件，最终提权。
漏洞原理：
TrueVector服务以LocalSystem权限运行，备份文件默认赋予“认证用户”完全控制权限。
攻击者可利用CreateHardlink工具创建硬链接，将备份文件指向系统关键文件（如C:Windowssystem32ucrtbase.dll），覆盖后执行恶意代码。
修复建议：
升级至ZoneAlarm最新版本（v15.8.025.18234及以上）。
手动修改备份文件夹权限，移除“认证用户”的写入权限。
- 基础防护：
保持防病毒软件、操作系统及应用程序更新至最新版本。
禁用不必要的服务和端口（如SMBv1、Telnet等）。
- 威胁情报：
监控安全公告（如CVE、Microsoft Security Response Center），及时获取漏洞信息。
使用威胁情报工具检测网络中是否存在漏洞利用迹象（如异常SMB流量、硬链接创建行为）。
- 用户教育：
警惕钓鱼邮件，避免点击未知链接或下载可疑附件。
限制员工使用管理员权限，降低提权攻击风险。
总结：Windows SMBv3漏洞（CVE-2020-0796）具有极高风险，需通过禁用压缩、封锁端口及升级系统综合防护。同时，ZoneAlarm防火墙权限漏洞提醒用户关注第三方软件安全，及时更新补丁以避免提权攻击。
热门标签
