「SMBleed」公表以降、「SMBv3」の探索行為が増加

警察庁は、「SMBv3」の脆弱性を修正していない端末を探索していると見られるアクセスの増加を観測しているとして注意喚起を行った。

6月9日に「SMBv3.1.1」プロトコルの処理において「SMBleed」との別名を持つ情報漏洩の脆弱性「CVE-2020-1206」が公開され、翌日以降「SMBv2」のバージョンを確認する「SMB2 NEGOTIATE Request」の増加が見られるとして注意を呼びかけたもの。

同庁では、同じく「SMBv3.1.1」プロトコルの処理において、別名「SMBGhost」「EternalDarkness」「CoronaBlue」としても知られる深刻な脆弱性「CVE-2020-0796」が明らかとなった3月11日以降、アクセスの急増を確認したとしてアラートを発しているが、その後やや落ち着きを見せたものの、あらたに脆弱性が公開され、再び探索行為が増加しているという。

「SMBleed」の公開以降、TCP 445番ポートを中心に動作するバージョンを確認するアクセスが連日観測されており、TCP 139番ポートなどに対しても同様のアクセスが見られた。

「SMBleed」はカーネルメモリをリモートより参照できる情報漏洩の脆弱性。同脆弱性を発見、報告した研究者は「SMBGhost」を研究する過程で同脆弱性を発見したとしており、両脆弱性を組み合わせることで、容易ではないが認証なしにリモートよりコードを実行できるとの見方を示している。

すでに脆弱性の実証コードや探索ツールが公開されており、同庁ではアップデートを実施して脆弱性を解消することや、TCP 445番ポートに対してアクセスを適切に制御するなど、対策を講じるよう呼びかけている。

（Security NEXT - 2020/07/17 ） ツイート

PR

関連記事

「Splunk Enterprise」にアップデート - 「クリティカル」脆弱性など解消
「Cisco ISE」にRCE脆弱性 - 端末の接続に影響するおそれも
ロードバランサ「HAProxy」に脆弱性 - 同期破壊のおそれ
「Webmin」に認証バイパスなど複数の脆弱性 - 最新版で修正
6月公表の「Splunk Enterprise」脆弱性、悪用を確認
FWやVPNの認証情報を攻撃者が大量保有 - 「FortiBleed」に要警戒
「nginx」に複数のクリティカル脆弱性 - 修正版が公開
「Splunk」向けのAI拡張ツールに複数の脆弱性
「Chrome」が脆弱性33件を修正 - 「クリティカル」7件
「Cortex XSOAR」「XSIAM」向け「CommvaultSecurityIQ」連携に脆弱性