probablysecure/triage-cve-2017-0144Ziel ist es, bekannte Angriffe zu triagieren und zu lernen, wie Sicherheitsteams schnell reagieren.
Für diese Übung bestand das Ziel darin, eine weitere bekannte reale Schwachstelle zu triagieren, diesmal EternalBlue, den SMBv1-Fehler, der bekanntermaßen beim WannaCry-Ransomware-Ausbruch ausgenutzt wurde.
Ich ging zur National Vulnerability Database und schlug die CVE nach:
https://nvd.nist.gov/vuln/search#/nvd/home?resultType=records
Ich suchte nach CVE-2017-0144 und öffnete die Ergebnisseite.
Nachdem ich die Beschreibung gelesen hatte, beantwortete ich einige grundlegende Fragen, um zu verstehen, was tatsächlich gefährdet ist:
Ich fand den CVSS-Score und den Vektor-String auf der Seite aufgelistet:
Ich ging den Vektor-String Stück für Stück durch, um zu sehen, was jeder Teil tatsächlich bedeutet:
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Diese erfordert geringe Berechtigungen zur Ausnutzung (anders als ProxyLogon, bei dem keine erforderlich waren), erfordert aber weiterhin keine Benutzerinteraktion, und ein erfolgreicher Angriff kompromittiert weiterhin Vertraulichkeit, Integrität und Verfügbarkeit vollständig. Diese Kombination ist ein wesentlicher Grund dafür, warum EternalBlue so gefährlich war, sobald es mit einem sich selbst verbreitenden Wurm wie WannaCry kombiniert wurde.
Ich habe den Abschnitt zur Schwachstellen-Enumeration auf der NVD-Seite für diese CVE geprüft, aber es war keine CWE dafür aufgeführt.
Ich habe überlegt, ob ich dies unter zwei verschiedenen Szenarien als höheres oder niedrigeres Risiko einstufen würde.
Szenario 1: Die verwundbare Software ist aktiv und erreichbar. Höheres Risiko. Diese Schwachstelle ermöglicht es einem Angreifer, remote auf den Server zuzugreifen, Code auszuführen und auf Dateien zuzugreifen.
Szenario 2: Die verwundbare Software ist auf einem Rechner installiert, der ausgeschaltet und nicht erreichbar ist. Niedrigeres Risiko. Ohne Strom oder Netzwerkverbindung gibt es für einen Angreifer keine Möglichkeit, den Server tatsächlich zu erreichen, um die Schwachstelle überhaupt auszunutzen.
Vergleicht man dies mit der ProxyLogon-Triage, ist es ein gutes Beispiel dafür, wie sich zwei kritische Schwachstellen im Detail unterscheiden können: EternalBlue benötigt geringe Berechtigungen, während ProxyLogon keine erforderte, aber beide fallen dennoch in die Kategorie "als hohes Risiko behandeln", sobald man betrachtet, wie viel Schaden ein erfolgreicher Exploit anrichten könnte. Wie zuvor hängt das tatsächliche Risiko vom Kontext ab: Dieselbe Schwachstelle ist auf einem Rechner, der offline und unerreichbar ist, weitaus weniger gefährlich.