SMBGhost: falla «wormable» in SMBv3, Microsoft rilascia la patch d’urgenza

Questa settimana Microsoft ha dovuto rincorrere una fuga di notizie. Il 10 marzo, giorno del Patch Tuesday, alcune aziende di sicurezza hanno descritto per errore una vulnerabilità che non era ancora stata corretta. Due giorni dopo è arrivato l’aggiornamento straordinario KB4551762. La falla è la CVE-2020-0796, detta SMBGhost, e appartiene alla categoria che fa più paura: può propagarsi da sola, come un worm.

Il difetto sta nel modo in cui SMB 3.1.1, il protocollo di Windows per condividere file e stampanti, gestisce i pacchetti compressi. Un valore di lunghezza non controllato produce un errore di calcolo, e il sistema finisce per scrivere oltre lo spazio di memoria previsto. Con pacchetti costruiti ad arte, e senza alcuna credenziale, un attaccante può arrivare a eseguire codice con i privilegi più alti del sistema.

Il bersaglio può essere un server, cioè una macchina che condivide file, ma anche un client. In questo secondo caso basta convincere l’utente a collegarsi a un server SMB malevolo.

Colpite solo le versioni più recenti

La compressione è stata introdotta da poco, e infatti sono vulnerabili solo Windows 10 nelle versioni 1903 e 1909 e Windows Server 1903 e 1909 nelle installazioni Server Core. Windows 7, Windows 8.1, Windows 10 fino alla 1809 e Windows Server 2019 sono fuori dal problema. Per una volta, chi è rimasto indietro con gli aggiornamenti di versione si trova al sicuro.

Microsoft dichiara di non aver osservato attacchi. I primi strumenti per individuare le macchine esposte, però, sono già pubblici, e le scansioni su Internet contano decine di migliaia di sistemi raggiungibili.

Installa KB4551762 su tutti i sistemi 1903 e 1909. Se non puoi farlo subito, disattiva la compressione SMBv3 lato server con PowerShell:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" DisableCompression -Type DWORD -Value 1 -Force

Questa misura protegge i server, non i client. Per entrambi vale la regola più vecchia di tutte: la porta TCP 445 va bloccata sul firewall perimetrale, in entrata e in uscita, perché SMB non ha motivo di uscire dalla rete aziendale. Dove puoi, segmenta anche la rete interna, così le postazioni che non hanno bisogno di parlarsi non possono farlo.

Dopo WannaCry sappiamo cosa può fare un worm su SMB. Questa volta conviene arrivare prima.