SMBloris füllt kompletten Arbeitsspeicher

Als Gast hast du nur eingeschränkten Zugriff!

Anmelden

Benutzerkonto erstellen

Du bist nicht angemeldet und hast somit nur einen sehr eingeschränkten Zugriff auf die Features unserer Community.
Um vollen Zugriff zu erlangen musst du dir einen Account erstellen. Der Vorgang sollte nicht länger als 1 Minute dauern.

Antworte auf Themen oder erstelle deine eigenen.
Schalte dir alle Downloads mit Highspeed & ohne Wartezeit frei.
Erhalte Zugriff auf alle Bereiche und entdecke interessante Inhalte.
Tausche dich mich anderen Usern in der Shoutbox oder via PN aus.

Das Protokoll SMB in Windows ist in allen Versionen anfällig für eine Denial-of-Service-Attacke. Ein einzelner Angreifer kann den Arbeitsspeicher eines Servers zum Überlaufen bringen. Microsoft schließt einen Patch aus.

Mit nur 20 Zeilen Python-Code haben Sicherheitsforscher von RiskSense eine Denial-of-Service-Attacke gegen das SMB-Protokoll geschrieben und das Verfahren im Rahmen der DefCon vorgestellt. Ziel von SMBloris ist es, das angegriffene System durch Füllen des Arbeitsspeichers zum Absturz zu bringen.

Einzelner Angreifer füllt den Arbeitsspeicher

Das Prinzip ist verhältnismäßig einfach und funktioniert nach Aussagen der Forscher für alle Windows- und SMB-Versionen. Ein einzelner Angreifer eröffnet SMB-Sitzungen auf einem Server, der SMB-Freigaben bereitstellt. Dabei werden dem Server für jede Verbindung große Buffer angekündigt, die nie gesendet werden. Windows reserviert den Arbeitsspeicher und wartet auf die Daten.

Für den Angreifer ist das Eröffnen beliebig vieler Verbindungen nicht belastend ? für die Attacke reicht ein einzelner Raspberry Pi. Auf dem Server dagegen lassen sich schnell bis zu 128 GB Arbeitsspeicher füllen. Bis zum Neustart ist das System damit außer Gefecht.

SMB-Freigaben übers Internet schließen

Die RiskSense-Forscher gaben Microsoft 60 Tage Zeit, bevor sie die Methode im Rahmen der DefCon-Konferenz vorstellten. Gegenüber Threatpost äußerte sich der Hersteller und schloss einen Patch aus. Demnach handele es sich bei übers Internet veröffentlichten SMB-Freigaben um einen Konfigurationsfehler. Administratoren wird geraten, diese Verbindungen in der Firewall zu blockieren und nur im lokalen Netz bereitzustellen.

Benannt ist der Angriff in Anlehnung an die Denial-of-Service-Attacke Slowloris, die 2009 veröffentlicht wurde und Webserver zum Absturz brachte.

Please Login HERE or Register HERE to see this link!