Triage : CVE-2017-0144 (EternalBlue / SMBv1 — associé à la propagation de WannaCry)

Pour ce laboratoire, l'objectif était de trier une autre vulnérabilité réelle bien connue, cette fois EternalBlue, la faille SMBv1 qui a été tristement célèbre pour avoir été exploitée par la vague de ransomware WannaCry.

Étape 1 : Ouvrir la CVE dans le NVD

Je suis allé sur la National Vulnerability Database et j'ai recherché la CVE :

https://nvd.nist.gov/vuln/search#/nvd/home?resultType=records

J'ai recherché CVE-2017-0144 et j'ai ouvert la page de résultats.

Étape 2 : Identifier l'actif et l'exposition

Après avoir lu la description, j'ai répondu à quelques questions de base pour comprendre ce qui est réellement en jeu :

• Quel type de logiciel est concerné ? Serveur SMBv1
• Où ce logiciel s'exécute-t-il généralement ? Une large gamme de versions Windows, notamment Windows Vista SP2, Windows Server 2008 SP2 et R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012 (Gold et R2), Windows RT 8.1, Windows 10 (Gold, 1511 et 1607) et Windows Server 2016
• Qu'est-ce qui le rend risqué en entreprise ? Il permet à un attaquant d'exécuter du code arbitraire sur le serveur et de prendre le contrôle total de la machine, y compris la possibilité d'accéder aux fichiers et de les modifier, et d'exécuter le code de son choix

Étape 3 : Enregistrer le score de base CVSS et la chaîne vectorielle

J'ai trouvé le score CVSS et la chaîne vectorielle indiqués sur la page :

Étape 4 : Décomposer la chaîne vectorielle

J'ai parcouru la chaîne vectorielle morceau par morceau pour voir ce que chaque partie signifiait réellement :

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

• Vecteur d'attaque - Réseau
• Complexité de l'attaque - Faible
• Privilèges requis - Faibles
• Interaction de l'utilisateur - Aucune
• Périmètre - Inchangé
• Confidentialité - Élevée
• Intégrité - Élevée
• Disponibilité - Élevée

Celle-ci nécessite un petit privilège pour être exploitée (contrairement à ProxyLogon, qui n'en exigeait aucun), mais elle ne nécessite toujours aucune interaction de l'utilisateur, et une attaque réussie compromet toujours totalement la confidentialité, l'intégrité et la disponibilité. Cette combinaison explique en grande partie pourquoi EternalBlue a été si dangereux une fois associé à un ver à propagation autonome comme WannaCry.

Étape 5 : Trouver la catégorie CWE

J'ai vérifié la section Weakness Enumeration de la page NVD pour cette CVE, mais aucune CWE n'y était répertoriée.

Étape 6 : Répondre à une question sur le risque

J'ai réfléchi à la manière dont je traiterais ce risque comme plus élevé ou plus faible dans deux scénarios différents.

Scénario 1 : Le logiciel vulnérable est actif et accessible. Risque plus élevé. Cette vulnérabilité permet à un attaquant d'accéder à distance au serveur, d'exécuter du code et d'accéder aux fichiers.

Scénario 2 : Le logiciel vulnérable est installé sur une machine qui est éteinte et inaccessible. Risque plus faible. Sans alimentation ni connexion réseau, un attaquant n'a aucun moyen d'atteindre le serveur pour exploiter la vulnérabilité en premier lieu.

Conclusion

En comparant cela au triage de ProxyLogon, c'est un bon exemple de la façon dont deux vulnérabilités critiques peuvent encore différer dans les détails : EternalBlue nécessite de faibles privilèges là où ProxyLogon n'en exigeait aucun, mais les deux se retrouvent dans la catégorie « à traiter comme à risque élevé » dès que l'on considère l'ampleur des dégâts qu'une exploitation réussie pourrait causer. Comme précédemment, le risque réel dépend toujours du contexte : la même vulnérabilité est beaucoup moins dangereuse sur une machine hors ligne et inaccessible.