Sie benötigen den Patch MS17-010 nicht, wenn Sie SMBv1 deaktivieren
Wie in der Zusammenfassung des Microsoft Security Bulletin MS17-010 erläutert:
Dieses Sicherheitsupdate behebt Sicherheitsanfälligkeiten in Microsoft Windows. Die schwerwiegendsten Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn ein Angreifer speziell gestaltete Nachrichten an einen SMBv1-Server (Microsoft Server Message Block 1.0) sendet.
Diese "speziell gestaltete Nachricht" ist ein als EternalBlue bekannter Exploit. Seine Rolle bei der Verbreitung von WannaCry wird in dem exzellenten Blogbeitrag des Cisco Threat Intelligence-Teams über Ransomware diskutiert . In Kürze:
Die Malware verwendet ETERNALBLUE für die erste Ausnutzung der SMB-Sicherheitsanfälligkeit.
Der Wikipedia-Artikel für den EternalBlue-Exploit bestätigt, dass Version 1 der Microsoft-Implementierung von SMB anfällig ist:
EternalBlue nutzt eine Sicherheitsanfälligkeit in der Microsoft-Implementierung des SMB-Protokolls (Server Message Block). Diese Sicherheitsanfälligkeit wird durch den Eintrag CVE-2017-0144 im Katalog zu Common Vulnerabilities and Exposures (CVE) angegeben. Die Sicherheitsanfälligkeit ist darauf zurückzuführen, dass der SMB-Server der Version 1 (SMBv1) in verschiedenen Versionen von Microsoft Windows speziell gestaltete Pakete von Remoteangreifern akzeptiert, sodass sie auf dem Zielcomputer beliebigen Code ausführen können. Mein Schwerpunkt.
Fazit: Wenn SMBv1 auf einer Maschine deaktiviert ist, ist der EternalBlue-Exploit nicht möglich und WannaCry kann die Maschine nicht über SMB infizieren .
Hinweis: SMBv1 ist die einzige Version des Protokolls, die unter Windows Server 2003 und XP verfügbar ist. Daher wird durch das Deaktivieren die Dateifreigabe auf diesen Systemen vollständig deaktiviert.
Installieren Sie den Patch MS17-010 trotzdem!
Ja, Sie sollten SMBv1 nicht mehr verwenden. Sie sollten es vor langer Zeit nicht mehr verwenden. Aber auch wenn Sie ihn deaktivieren, installieren Sie diesen Sicherheitspatch trotzdem.
Dies ist NICHT überflüssig. Es ist umsichtig. Wenn jemand anderes hinter Ihnen her kommt und SMBv1 erneut aktiviert und das System nicht gepatcht wird, wird der Computer erneut anfällig für einen Exploit, der den Host leicht und unerkannt gefährden kann. Und der nächste Kerl weiß vielleicht nicht, welche Landmine er aktiviert hat.
Sie müssen diese Haftung nicht über einer Maschine hängen, für die Sie verantwortlich sind.