Trusted Design

CVE-2020-0796 の詳細

CVEの情報

説明:
A remote code execution vulnerability exists in the way that the Microsoft Server Message Block 3.1.1 (SMBv3) protocol handles certain requests, aka 'Windows SMBv3 Client/Server Remote Code Execution Vulnerability'.

CVE更新日: 2020-03-12 16:15:15.627000

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2022-02-10

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.944240000

EPSS更新日: 2026-06-12 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2020-0796は「SMBGhost」や「CoronaBlue」とも呼ばれる、Microsoft Server Message Block 3.1.1（SMBv3）プロトコルにおけるリモートコード実行の脆弱性です。

1. 脆弱性の概要

この脆弱性は、SMBv3が圧縮されたメッセージパケットを処理する方法に存在します。 攻撃者は、不正に細工したSMBv3圧縮ヘッダーを含むパケットを送信することで、SMBサーバー上で任意のコードを実行できます。 また、SMBクライアントが悪意のあるSMBサーバーに接続するように誘導された場合にも、同様にコードが実行される可能性があります。 この脆弱性は、SMBv3.1.1で導入された圧縮機能における、OriginalCompressedSegmentSizeフィールドの検証不備に起因する整数オーバーフローによって引き起こされます。

1.1 影響

認証されていないネットワーク経由の攻撃者が、細工したリクエストを送信することで、カーネルレベルの特権で任意のコードを実行できる可能性があります。 この脆弱性は「ワーム可能 (wormable)」な性質を持ち、EternalBlueやWannaCryのように自己増殖するマルウェアに悪用される危険性があると指摘されています。

1.2 深刻度

Microsoftはこの脆弱性を「Critical（緊急）」と位置付けています。 CVSS v3の基本スコアは10.0（最高値）と評価されており、非常に危険度が高いとされています。 CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用されている脆弱性カタログにも追加されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、SMBv3.1.1プロトコルを使用している比較的新しいOSバージョンに影響します。具体的には以下のバージョンが影響を受けます。

  • Windows 10 Version 1903 (x86, x64, ARM64)
  • Windows 10 Version 1909 (x86, x64, ARM64)
  • Windows Server, version 1903 (Server Core installation)
  • Windows Server, version 1909 (Server Core installation)

なお、Windows 10 Version 1809以前のWindows OSは影響を受けません。

2.2 影響を受ける設定

SMBv3プロトコルが有効で、特にSMBv3の圧縮機能が有効になっている環境が影響を受けます。 攻撃はTCPポート445を介して行われます。

3. 影響を受けた時の兆候

この脆弱性はリモートコード実行を可能にするため、攻撃が成功した場合、システム上で任意のコードが実行される可能性があります。 概念実証コードでは、バッファオーバーフローを引き起こし、OSのクラッシュ（ブルースクリーン）を発生させることが確認されています。 既に攻撃を受けている可能性がある場合は、不審なプロセス、ファイル、および通信が存在しないかを確認することが推奨されます。

4. 推奨対策

4.1 本対策

Microsoftは、この脆弱性を修正するセキュリティ更新プログラム（KB4551762など）を2020年3月12日に公開しています。 速やかに該当するパッチを適用することが最も推奨される対策です。

4.2 暫定回避策（緩和策）

修正パッチの適用がすぐにできない場合のために、以下の回避策が推奨されています。

  • SMBv3の圧縮処理を無効にする: PowerShellで以下のコマンドを実行することで、SMBサーバー側での圧縮を無効にできます。 powershell Set-ItemProperty -Path “HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters” DisableCompression -Type DWORD -Value 1 –Force この設定はシステム再起動を必要としません。
  • SMBプロトコルに利用される445番ポートをブロックする: ネットワーク境界でTCPポート445からの受信接続をブロックすることで、外部からの攻撃を防ぐことができます。 内部のSMBトラフィックをセグメント化し、被害範囲を制限することも有効です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る