probablysecure/triage-cve-2021-26855-proxylogon---microsoft-exchange-Laboratoire pratique de tri de CVE : analyser les entrées NVD, décoder les vecteurs CVSS, cartographier les faiblesses CWE et contextualiser le risque pour les exploits très médiatisés comme ProxyLogon.
Pour ce laboratoire, l'objectif était de s'entraîner à trier une vulnérabilité réelle bien connue comme le ferait une équipe de sécurité : lire les détails de la CVE, comprendre le score CVSS, et raisonner sur le niveau de risque réel selon la situation.
J'ai consulté la National Vulnerability Database et j'ai recherché la CVE :
https://nvd.nist.gov/vuln/search#/nvd/home?resultType=records
J'ai cherché CVE-2021-26855 et j'ai ouvert la page de résultats.
Après avoir lu la description, j'ai répondu à quelques questions de base pour comprendre ce qui est réellement en jeu :
J'ai trouvé le score CVSS et la chaîne de vecteur listés sur la page :
J'ai parcouru la chaîne de vecteur morceau par morceau pour voir ce que chaque partie signifiait réellement :
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
En gros, cela signifie qu'un attaquant n'a besoin d'aucun identifiant ni d'aucune interaction de l'utilisateur pour l'exploiter, et s'il le fait, il peut compromettre totalement la confidentialité, l'intégrité et la disponibilité. Cette combinaison explique en grande partie pourquoi cette CVE a été considérée comme une vulnérabilité aussi grave et activement exploitée à l'époque.
J'ai vérifié la section Weakness Enumeration sur la page de la NVD pour voir de quelle catégorie de faiblesse il s'agit réellement.
La CWE répertoriée est CWE-918 : Server-Side Request Forgery (SSRF). En clair, cela signifie que le serveur prend une URL ou une requête d'ailleurs et la récupère, sans vérifier correctement que la requête va bien là où elle est censée aller.
J'ai réfléchi à la manière dont je considérerais ce risque comme plus élevé ou plus faible dans deux scénarios différents.
Scénario 1 : Le logiciel vulnérable est en ligne et accessible. Risque plus élevé. Cette vulnérabilité permet à un attaquant d'accéder à des boîtes mail et à des fichiers qui ne sont pas les siens, et d'exécuter du code ou d'apporter des modifications sur le système.
Scénario 2 : Le logiciel vulnérable est installé sur une machine éteinte et inaccessible. Risque plus faible. Sans alimentation ni connexion réseau, un attaquant n'a de toute façon aucun moyen d'atteindre le serveur pour exploiter la vulnérabilité.
Cet exercice a été un bon rappel que le score de gravité d'une CVE ne dit pas tout : le risque réel dépend aussi du contexte, comme le fait que le système vulnérable soit ou non accessible. Une vulnérabilité critique sur une machine hors ligne est un risque très différent de la même vulnérabilité sur un serveur en ligne, exposé à Internet.