1. 漏洞公告
2020年3月10日，微软官方更新发布了3月安全更新补丁和针对windows 10/server禁用smbv3（smb 3.1.1版本）协议压缩的指南公告，以此缓解smbv3协议在处理调用请求时的一个远程执行代码漏洞，公告编号：adv200005（暂未更新cve-2020-0796页面），相关链接：
https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/adv200005
根据公告，windows 10/server版本启用的smbv3（smb 3.1.1版本）协议压缩功能存在缓冲区溢出漏洞，成功利用此漏洞的恶意攻击者可以在目标smb服务器或smb客户端上达到执行代码效果，从而获取目标系统管理权限，建议尽快安装安全更新补丁或采取临时缓解措施加固系统。
2020年3月安全更新链接：
https://portal.msrc.microsoft.com/zh-cn/security-guidance/releasenotedetail/2020-mar
在此次3月安全更新公告中，还包含多个安全漏洞，其中有个一个.lnk（快捷方式）相关的漏洞，cve编号：cve-2020-0684,此漏洞也是远程代码执行，恶意攻击者可以通过构造带有攻击代码的.lnk（快捷方式）投放到移动存储介质或远程共享，当用户打开移动存储介质或远程共享即会触发漏洞，成功利用此漏洞的恶意攻击者可以获得与本地用户相同的用户权限,相关链接：
https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/cve-2020-0684
2. 影响范围
smbv3（smb 3.1.1版本）协议压缩代码执行漏洞影响以下系统：
windows 10 version 1903 for 32-bit systems
windows 10 version 1903 for arm64-based systems
windows 10 version 1903 for x64-based systems
windows 10 version 1909 for 32-bit systems
windows 10 version 1909 for arm64-based systems
windows 10 version 1909 for x64-based systems
windows server, version 1903 (server core installation)
windows server, version 1909 (server core installation)
cve-2020-0684.lnk快捷方式代码执行漏洞影响以下系统：
windows 10 for 32-bit systems
windows 10 for x64-based systems
windows 10 version 1607 for 32-bit systems
windows 10 version 1607 for x64-based systems
windows 10 version 1709 for arm64-based systems
windows 10 version 1709 for x64-based systems
windows 10 version 1803 for 32-bit systems
windows 10 version 1803 for arm64-based systems
windows 10 version 1803 for x64-based systems
windows 10 version 1809 for 32-bit systems
windows 10 version 1809 for arm64-based systems
windows 10 version 1809 for x64-based systems
windows 10 version 1903 for 32-bit systems
windows 10 version 1903 for arm64-based systems
windows 10 version 1903 for x64-based systems
windows 10 version 1909 for 32-bit systems
windows 10 version 1909 for arm64-based systems
windows 10 version 1909 for x64-based systems
windows 7 for 32-bit systems service pack 1
windows 7 for x64-based systems service pack 1
windows 8.1 for 32-bit systems
windows 8.1 for x64-based systems
windows rt 8.1
windows server 2008 for 32-bit systems service pack 2
windows server 2008 for 32-bit systems service pack 2 (server core installation)
windows server 2008 for itanium-based systems service pack 2
windows server 2008 for x64-based systems service pack 2
windows server 2008 for x64-based systems service pack 2 (server core installation)
windows server 2008 r2 for itanium-based systems service pack 1
windows server 2008 r2 for x64-based systems service pack 1
windows server 2008 r2 for x64-based systems service pack 1 (server core installation)
windows server 2012
windows server 2012 (server core installation)
windows server 2012 r2
windows server 2012 r2 (server core installation)
windows server 2016
windows server 2016 (server core installation)
windows server 2019
windows server 2019 (server core installation)
windows server, version 1803 (server core installation)
windows server, version 1903 (server core installation)
windows server, version 1909 (server core installation)
3. 漏洞描述
根据分析，smbv3协议压缩功能在中smb 3.1.1版本中启用，主要启用的操作系统是windows 10/server1903以上版本，相关参考：
https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-smb2/4287490c-602c-41c0-a23e-140a1f137832
协议同时启用于smb服务端或smb客户端，因此可以针对服务端和客户端分别进行攻击，针对smb服务端的漏洞利用，未经身份验证的恶意攻击者可以将攻击数据包发送到目标smbv3服务器，针对smb客户端的漏洞，未经身份验证的恶意攻击者可以通过配置恶意的smbv3服务器，并诱使用户连接到该服务器进行攻击。
关于cve-2020-0684：恶意攻击者可能通过该漏洞对受影响版本的windows系统用户进行恶意钓鱼攻击，从而达到获取用户windows主机的命令执行权限的目的。
建议尽快安装安全更新补丁或采取临时缓解措施加固系统。
4. 自查自检
明鉴远程安全评估系统目前已紧急发布针对该漏洞的检测升级包，支持对该漏洞进行检测，已使用明鉴远程安全评估系统的用户可通过在线升级的方式一键更新漏洞策略库，更新后即可对该漏洞进行扫描，建议用户及时更新。
5. 缓解措施
高危：目前漏洞细节和利用代码暂未公开，但可以通过补丁对比方式定位漏洞触发点并开发漏洞利用代码，建议及时测试安全更新补丁并应用安装，或采取临时缓解措施加固系统。
临时缓解措施：
通过powershell命令禁用smbv3压缩功能，以阻止未经身份验证的恶意攻击者对smbv3服务端的漏洞利用。
set-itemproperty -path "hklm:\system\currentcontrolset\services\lanmanserver\parameters" disablecompression -type dword -value 1 -force
执行此操作无需重启系统，但对smbv3客户端的无效，取消禁用可以执行以下命令：
set-itemproperty -path "hklm:\system\currentcontrolset\services\lanmanserver\parameters" disablecompression -type dword -value 0 -force
另外，根据实际情况（漏洞细节和代码公开了的情况下出现的蠕虫爆发）可以考虑临时阻断tcp 445端口。
