Triage: CVE-2017-0144 (EternalBlue / SMBv1 — asociado con la propagación de WannaCry)

Para este laboratorio, el objetivo era hacer triage de otra vulnerabilidad real muy conocida, esta vez EternalBlue, la falla de SMBv1 que fue explotada notoriamente por el brote de ransomware WannaCry.

Paso 1: Abrir el CVE en NVD

Fui a la National Vulnerability Database y busqué el CVE:

https://nvd.nist.gov/vuln/search#/nvd/home?resultType=records

Busqué CVE-2017-0144 y abrí la página de resultados.

Paso 2: Identificar el activo y la exposición

Después de leer la descripción, respondí algunas preguntas básicas para entender qué está realmente en riesgo:

• ¿Qué tipo de software está afectado? Servidor SMBv1
• ¿Dónde se ejecutaría normalmente ese software? Una amplia gama de versiones de Windows, incluyendo Windows Vista SP2, Windows Server 2008 SP2 y R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012 (Gold y R2), Windows RT 8.1, Windows 10 (Gold, 1511 y 1607) y Windows Server 2016
• ¿Qué lo hace riesgoso en las empresas? Permite a un atacante ejecutar código arbitrario en el servidor y le da control total de la máquina, incluida la capacidad de acceder y modificar archivos y ejecutar cualquier código que quiera

Paso 3: Registrar la puntuación base CVSS y la cadena de vector

Encontré la puntuación CVSS y la cadena de vector listadas en la página:

Paso 4: Desglosar la cadena de vector

Revisé la cadena de vector parte por parte para ver qué significaba realmente cada elemento:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

• Vector de ataque - Red
• Complejidad de ataque - Baja
• Privilegios requeridos - Bajos
• Interacción del usuario - Ninguna
• Alcance - Sin cambios
• Confidencialidad - Alta
• Integridad - Alta
• Disponibilidad - Alta

Esta requiere pocos privilegios para explotarse (a diferencia de ProxyLogon, que no requería ninguno), pero sigue sin necesitar interacción del usuario, y un ataque exitoso compromete por completo la confidencialidad, la integridad y la disponibilidad. Esa combinación es en gran parte la razón por la que EternalBlue era tan peligroso una vez que se emparejó con un gusano que se autopropaga como WannaCry.

Paso 5: Encontrar la categoría CWE

Revisé la sección Weakness Enumeration en la página de NVD para este CVE, pero no se listó ninguna CWE para él.

Paso 6: Responder una pregunta de riesgo

Consideré si trataría esto como un riesgo mayor o menor en dos escenarios diferentes.

Escenario 1: El software vulnerable está activo y es accesible. Riesgo mayor. Esta vulnerabilidad permite a un atacante acceder remotamente al servidor, ejecutar código y acceder a archivos.

Escenario 2: El software vulnerable está instalado en una máquina que está apagada y no es accesible. Riesgo menor. Sin alimentación ni conexión de red, no hay forma de que un atacante llegue realmente al servidor para explotar la vulnerabilidad en primer lugar.

Conclusión

Comparando esto con el triage de ProxyLogon, es un buen ejemplo de cómo dos vulnerabilidades críticas pueden diferir en los detalles: EternalBlue necesita pocos privilegios mientras que ProxyLogon no requería ninguno, pero ambas siguen cayendo en la categoría de "tratar como alto riesgo" una vez que se observa cuánto daño podría hacer un exploit exitoso. Igual que antes, el riesgo real sigue dependiendo del contexto: la misma vulnerabilidad es mucho menos peligrosa en una máquina que está fuera de línea e inaccesible.