probablysecure/triage-cve-2017-0144الهدف هو تصنيف الهجمات المعروفة وتعلّم كيفية استجابة فرق الأمن بسرعة.
بالنسبة لهذه التجربة المعملية، كان الهدف هو إجراء تقييم أولي لثغرة أمنية حقيقية أخرى معروفة، هذه المرة EternalBlue، وهي ثغرة SMBv1 التي استُغلت بشكل سيئ في تفشي برنامج الفدية WannaCry.
ذهبت إلى قاعدة بيانات الثغرات الوطنية وبحثت عن CVE:
https://nvd.nist.gov/vuln/search#/nvd/home?resultType=records
بحثت عن CVE-2017-0144 وفتحت صفحة النتيجة.
بعد قراءة الوصف، أجبت على بعض الأسئلة الأساسية لفهم ما هو معرض للخطر فعليًا:
وجدت درجة CVSS وسلسلة المتجهات مذكورتين في الصفحة:
راجعت سلسلة المتجهات جزءًا جزءًا لأرى ما يعنيه كل جزء فعليًا:
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
تتطلب هذه الثغرة قدرًا صغيرًا من الامتيازات لاستغلالها (على عكس ProxyLogon الذي لم يتطلب أيًا منها)، لكنها ما زالت لا تحتاج إلى أي تفاعل من المستخدم، والهجوم الناجح لا يزال يعرض السرية والسلامة والتوفر للخطر تمامًا. هذا المزيج هو جزء كبير من سبب خطورة EternalBlue عندما اقترنت بدودة تنتشر ذاتيًا مثل WannaCry.
تحققت من قسم تعداد الضعف في صفحة NVD لهذا CVE، لكن لم تُدرج أي CWE له.
فكرت فيما إذا كنت سأعتبر هذا خطرًا أعلى أو أقل في سيناريوهين مختلفين.
السيناريو 1: البرنامج الضعيف قيد التشغيل ويمكن الوصول إليه. خطر أعلى. تتيح هذه الثغرة للمهاجم الوصول عن بُعد إلى الخادم وتشغيل التعليمات البرمجية والوصول إلى الملفات.
السيناريو 2: البرنامج الضعيف مثبت على جهاز مغلق ولا يمكن الوصول إليه. خطر أقل. بدون طاقة أو اتصال بالشبكة، لا توجد طريقة للمهاجم للوصول فعليًا إلى الخادم لاستغلال الثغرة في المقام الأول.
بمقارنة هذا بالتقييم الأولي لـ ProxyLogon، فهو مثال جيد على كيف يمكن أن تختلف ثغرتان حرجتان في التفاصيل، تتطلب EternalBlue امتيازات منخفضة بينما لم يتطلب ProxyLogon أيًا منها، لكن كلاهما يظل في فئة "التعامل معه كمخاطر عالية" بمجرد النظر إلى مقدار الضرر الذي قد يحدثه استغلال ناجح. وكما في السابق، فإن الخطر الفعلي يعتمد على السياق: نفس الثغرة أقل خطورة بكثير على جهاز غير متصل بالإنترنت ولا يمكن الوصول إليه.