Triage : CVE-2017-0144 (EternalBlue / SMBv1 — associé à la propagation de WannaCry)

Pour ce laboratoire, l'objectif était de trier une autre vulnérabilité réelle bien connue, cette fois EternalBlue, la faille SMBv1 qui a été tristement célèbre pour avoir été exploitée par la vague de ransomware WannaCry.

Étape 1 : Ouvrir la CVE dans NVD

Je suis allé sur la National Vulnerability Database et j'ai cherché la CVE :

https://nvd.nist.gov/vuln/search#/nvd/home?resultType=records

J'ai recherché CVE-2017-0144 et ouvert la page de résultat.

Étape 2 : Identifier l'actif et l'exposition

Après avoir lu la description, j'ai répondu à quelques questions de base pour comprendre ce qui est réellement en jeu :

• Quel type de logiciel est concerné ? Serveur SMBv1
• Où ce logiciel s'exécute-t-il généralement ? Une large gamme de versions de Windows, notamment Windows Vista SP2, Windows Server 2008 SP2 et R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012 (Gold et R2), Windows RT 8.1, Windows 10 (Gold, 1511 et 1607), et Windows Server 2016
• Qu'est-ce qui le rend risqué en entreprise ? Il permet à un attaquant d'exécuter du code arbitraire sur le serveur et de prendre le contrôle total de la machine, y compris la possibilité d'accéder aux fichiers et de les modifier, ainsi que d'exécuter le code de son choix

Étape 3 : Noter le score de base CVSS et la chaîne de vecteur

J'ai trouvé le score CVSS et la chaîne de vecteur listés sur la page :

Étape 4 : Décomposer la chaîne de vecteur

J'ai parcouru la chaîne de vecteur morceau par morceau pour voir ce que chaque partie signifiait réellement :

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

• Vecteur d'attaque - Réseau
• Complexité de l'attaque - Faible
• Privilèges requis - Faibles
• Interaction de l'utilisateur - Aucune
• Portée - Inchangée
• Confidentialité - Élevée
• Intégrité - Élevée
• Disponibilité - Élevée

Celle-ci nécessite un petit niveau de privilège pour être exploitée (contrairement à ProxyLogon, qui n'en nécessitait aucun), mais elle ne nécessite toujours aucune interaction de l'utilisateur, et une attaque réussie compromet toujours entièrement la confidentialité, l'intégrité et la disponibilité. Cette combinaison explique en grande partie pourquoi EternalBlue était si dangereux une fois associé à un ver à auto-propagation comme WannaCry.

Étape 5 : Trouver la catégorie CWE

J'ai vérifié la section Weakness Enumeration sur la page NVD pour cette CVE, mais aucune CWE n'y était listée.

Étape 6 : Répondre à une question sur le risque

J'ai réfléchi à la façon dont je traiterais ce risque comme plus élevé ou plus faible dans deux scénarios différents.

Scénario 1 : Le logiciel vulnérable est actif et accessible. Risque plus élevé. Cette vulnérabilité permet à un attaquant d'accéder à distance au serveur, d'exécuter du code et d'accéder aux fichiers.

Scénario 2 : Le logiciel vulnérable est installé sur une machine qui est éteinte et inaccessible. Risque plus faible. Sans alimentation ni connexion réseau, un attaquant ne peut en aucun cas atteindre le serveur pour exploiter la vulnérabilité.

Conclusion

En comparant cela au triage de ProxyLogon, c'est un bon exemple de la façon dont deux vulnérabilités critiques peuvent encore différer dans les détails : EternalBlue nécessite de faibles privilèges alors que ProxyLogon n'en nécessitait aucun, mais les deux se retrouvent dans la catégorie « à traiter comme à risque élevé » dès que l'on considère l'ampleur des dégâts qu'une exploitation réussie pourrait causer. Comme précédemment, le risque réel dépend toujours du contexte : la même vulnérabilité est bien moins dangereuse sur une machine hors ligne et inaccessible.