报告编号：B6-2020-031102

报告来源：360-CERT

报告作者：360-CERT

更新日期：2020-03-11

0x01 漏洞背景

2020年03月10日，微软例行发布了 3月份的安全更新。

3月份的微软发布了多达115个漏洞补丁，主要涵盖了 Windows操作系统、IE/Edge浏览器、ChakraCore、Exchange Server、办公及办公服务和网络应用、Azure DevOps服务器和微软恶意软件防护引擎。共计26个严重漏洞，88个高危漏洞。

最值得关注的是ADV200005安全公告

ADV200005安全公告微软建议禁用SMBv3 压缩功能

微软报告称，目前暂无漏洞被公开披露，不存在在野利用。

0x02 风险等级

360CERT对该安全更新进行评定

360CERT建议广大用户及时更新系统并安装 Windows 补丁。做好资产 自查/自检/预防 工作，以免遭受攻击。

0x03 漏洞详情

Word远程代码执行漏洞

CVE-2020-0852是存在于微软 Office 套件上的漏洞。于传统的 Office 漏洞不同的是，该漏洞无需打开特制文件。当用户通告Microsoft Outlook预览该特制文件时即可触发。攻击成功可获得完整的用户控制权限。

LNK远程代码执行漏洞

CVE-2020-0684依旧是（.LNK）文件造成的漏洞。攻击者可以利用特制的.LNK文件来执行任意代码，攻击成功可获得完整的用户控制权限。

与上月更新的CVE-2020-0729类似。

当用户在打开远程共享文件时。或者打开USB设备时。都有可能遭受此漏洞的攻击。

ADV200005|SMBv3 压缩功能漏洞

该漏洞是Microsoft Server Message Block 3.1.1 (SMBv3) protocol中的一枚远程代码执行漏洞，同时影响 SMB服务端/客户端。

仅影响 Windows10 {1903,1909} {arm64/x32/x64}; Windows Server {1903,1909} server core

3月12日，微软正式发布漏洞通告和相关补丁，360-CERT建议用户尽快进行修复。

请根据如下链接下载修复补丁进行修复

CVE-2020-0796 | Windows SMBv3 Client/Server Remote Code Execution Vulnerability 请用户遵循微软官方指南，停用 SMBv3 中的压缩功能

powershell 中运行如下命令

# 停用
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" DisableCompression -Type DWORD -Value 1 -Force
# 恢复
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" DisableCompression -Type DWORD -Value 0 -Force

该修复对客户端无效，请勿连接不信任的 SMB 服务器。以免遭受该漏洞影响。

0x04 影响版本

仅针对高危漏洞以及详细信息已经公开的漏洞进行说明，本次更新的全部漏洞情况请自行参考参考链接中的内容进行核对

0x05 修复建议

360CERT建议通过安装360安全卫士进行一键更新。

应及时进行Microsoft Windows版本更新并且保持Windows自动更新开启。

windows server / windows 检测并开启Windows自动更新流程如下

• 点击开始菜单，在弹出的菜单中选择“控制面板”进行下一步。
• 点击控制面板页面中的“系统和安全”，进入设置。
• 在弹出的新的界面中选择“windows update”中的“启用或禁用自动更新”。
• 然后进入设置窗口，展开下拉菜单项，选择其中的自动安装更新（推荐）。

手动升级方案

通过如下链接自行寻找符合操作系统版本的漏洞补丁，并进行补丁下载安装。

March 2020 Security Updates

0x06 相关空间测绘数据

360安全大脑-Quake网络空间测绘系统通过对全网资产测绘，发现 SMBv3 服务在全球均有广泛使用。具体分布如下图所示。

0x07 产品侧解决方案

360安全卫士

针对本次安全更新，windows用户可通过360安全卫士实现对应补丁安装，其他平台的用户可以根据修复建议列表中的产品更新版本对存在漏洞的产品进行更新。

360城市级网络安全监测服务

针对ADV20005安全通告

360安全大脑的QUAKE资产测绘平台通过资产测绘技术手段，对该类 漏洞/事件 进行监测，请用户联系相关产品区域负责人获取对应产品。

0x08 时间线

2020-03-10 微软发布安全更新

2020-03-11 360CERT发布预警

2020-03-12 微软正式更新CVE-2020-0796漏洞修复

2020-03-12 360CERT更新预警

0x09 参考链接

1. ADV200005 | Microsoft Guidance for Disabling SMBv3 Compression
2. Security Update Guide
3. March 2020 Security Updates
4. Zero Day Initiative — The March 2020 Security Update Review
5. CVE-2020-0796：疑似微软SMBv3协议“蠕虫级”漏洞事件初步跟进说明 - 360CERT
6. CVE-2020-0796 | Windows SMBv3 Client/Server Remote Code Execution Vulnerability