微软昨（10）日发布Patch Tuesday安全更新，修补了一个能和SMBGhost串联使用的SMBleed漏洞。
本周Patch Tuesday修补了129个漏洞，包括11项重大风险漏洞，其中包括CVE-2020-1206，它和上周美国CISA警告有网络攻击的SMBGhost一样，出现在Windows 10中Server Message Block 3.1.1（SMBv3）协议对特定消息处理不当。未授权的远程攻击者可设立一台恶意SMBv3服务器，诱使用户连接以发送恶意封包以开采漏洞。成功开采CVE-2020-1206可让远程攻击者读取Windows核心内存内容，因而又被称为SMBleed漏洞。
安全厂商ZecOps解释，SMBleed漏洞出在压缩组件对SMBv3的解压缩函数对SMB2 WRITE的消息处理不当，可造成SMB v3 Server未初始化（uninitiatized）核心内存泄露，进而修改压缩函数。
SMBleed的CVSS 3.0 Base基准风险评分为8.5，属于高风险。虽然不若“wormable”的SMBGhos为10分，但研究人员还发现，若SMBleed和SMBGhost串联起来，将可让远程攻击者未经验证在Windows 10计算机或服务器上执行任意程序代码。
ZecOps也发布两个概念验证程序，说明SMBleed单独以及结合SMBGhost的验证可能性。
SMBleed漏洞影响Windows 10 1903、1909以及Server 1903、1909及2004版。本周Patch Tuesday已经修补。但如果用户来不及安装，微软建议关闭SMBv3压缩功能，以封锁未验证人士的开采行为。