probablysecure/triage-cve-2021-26855-proxylogon---microsoft-exchange-مختبر عملي لفرز ثغرات CVE: تحليل إدخالات NVD، وفك ترميز ناقلات CVSS، وربط نقاط الضعف CWE، ووضع المخاطر في سياقها للاستغلالات البارزة مثل ProxyLogon.
بالنسبة لهذا التمرين، كان الهدف هو ممارسة فرز ثغرة أمنية واقعية معروفة بالطريقة التي قد يتبعها فريق الأمن: قراءة تفاصيل CVE، وفهم درجة CVSS، والتفكير في مدى خطورتها الفعلية اعتمادًا على الموقف.
ذهبت إلى قاعدة البيانات الوطنية للثغرات وبحثت عن CVE:
https://nvd.nist.gov/vuln/search#/nvd/home?resultType=records
بحثت عن CVE-2021-26855 وفتحت صفحة النتائج.
بعد قراءة الوصف، أجبت على بعض الأسئلة الأساسية لفهم ما هو معرّض للخطر فعليًا:
وجدت درجة CVSS وسلسلة المتجه المدرجتين على الصفحة:
راجعت سلسلة المتجه جزءًا بجزء لمعرفة ما يعنيه كل جزء فعليًا:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
ببساطة، هذا يعني أن المهاجم لا يحتاج إلى أي بيانات اعتماد أو تفاعل من المستخدم لاستغلال الثغرة، وإذا نجح في ذلك، يمكنه المساس الكامل بالسرية والسلامة والتوافر. ويشكل هذا المزيج جزءًا كبيرًا من السبب وراء التعامل مع هذا CVE كثغرة خطيرة تم استغلالها بنشاط في ذلك الوقت.
تحققت من قسم تعداد نقاط الضعف (Weakness Enumeration) في صفحة NVD لمعرفة فئة الضعف الفعلية لهذه الثغرة.
فئة CWE المدرجة هي CWE-918: Server-Side Request Forgery (SSRF). بعبارات بسيطة، يعني هذا أن الخادم يستقبل عنوان URL أو طلبًا من مصدر آخر ويقوم بجلبه، دون التحقق بشكل صحيح من أن الطلب يتجه فعليًا إلى الوجهة المخصصة له.
فكرت فيما إذا كنت سأعتبر هذا الخطر أعلى أم أقل في سيناريوهين مختلفين.
السيناريو 1: البرنامج الضعيف يعمل ويمكن الوصول إليه. خطر أعلى. تتيح هذه الثغرة للمهاجم الوصول إلى صناديق البريد والملفات التي لا يملكها، وتنفيذ التعليمات البرمجية أو إجراء تغييرات على النظام.
السيناريو 2: البرنامج الضعيف مثبت على جهاز مطفأ ولا يمكن الوصول إليه. خطر أقل. بدون طاقة أو اتصال بالشبكة، لا توجد طريقة للمهاجم للوصول فعليًا إلى الخادم لاستغلال الثغرة في المقام الأول.
كان هذا التمرين تذكيرًا جيدًا بأن درجة خطورة CVE ليست الصورة الكاملة؛ فالخطر الفعلي يعتمد أيضًا على السياق، مثل ما إذا كان النظام الضعيف قابلاً للوصول إليه من الأساس. الثغرة الحرجة على جهاز غير متصل بالشبكة تمثل خطرًا مختلفًا تمامًا عن نفس الثغرة على خادم مباشر مواجه للإنترنت.