probablysecure/triage-cve-2021-26855-proxylogon---microsoft-exchange-Laboratorio pratico di triage CVE: analizzare le voci NVD, decodificare i vettori CVSS, mappare le debolezze CWE e contestualizzare il rischio per exploit di alto profilo come ProxyLogon.
Per questo laboratorio, l'obiettivo era esercitarsi nel triage di una vulnerabilità reale e nota, come farebbe un team di sicurezza: leggere i dettagli della CVE, comprendere il punteggio CVSS e ragionare su quanto sia effettivamente rischiosa a seconda della situazione.
Sono andato al National Vulnerability Database e ho cercato la CVE:
https://nvd.nist.gov/vuln/search#/nvd/home?resultType=records
Ho cercato CVE-2021-26855 e ho aperto la pagina dei risultati.
Dopo aver letto la descrizione, ho risposto ad alcune domande di base per capire cosa sia realmente a rischio:
Ho trovato il punteggio CVSS e la stringa del vettore elencati nella pagina:
Ho esaminato la stringa del vettore pezzo per pezzo per capire cosa significasse realmente ogni parte:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
In pratica, questo significa che un attaccante non ha bisogno di credenziali o interazione con l'utente per sfruttarla e, se riesce a farlo, può compromettere completamente riservatezza, integrità e disponibilità. È proprio questa combinazione uno dei motivi principali per cui questa CVE è stata considerata, all'epoca, una vulnerabilità così grave e attivamente sfruttata.
Ho controllato la sezione Weakness Enumeration nella pagina NVD per vedere di quale categoria di debolezza si tratti realmente.
La CWE elencata è CWE-918: Server-Side Request Forgery (SSRF). In parole semplici, significa che il server prende un URL o una richiesta da qualche altra parte e la recupera, senza verificare adeguatamente che la richiesta stia effettivamente andando dove dovrebbe.
Ho valutato se tratterei questa vulnerabilità come un rischio più alto o più basso in due scenari diversi.
Scenario 1: Il software vulnerabile è attivo e raggiungibile. Rischio più alto. Questa vulnerabilità consente a un attaccante di accedere a cassette postali e file che non sono suoi e di eseguire codice o apportare modifiche al sistema.
Scenario 2: Il software vulnerabile è installato su una macchina spenta e non raggiungibile. Rischio più basso. Senza alimentazione o connessione di rete, un attaccante non ha alcun modo di raggiungere il server per sfruttare la vulnerabilità.
Questo esercizio è stato un buon promemoria del fatto che il punteggio di gravità di una CVE non racconta tutta la storia: il rischio reale dipende anche dal contesto, ad esempio se il sistema vulnerabile è effettivamente raggiungibile. Una vulnerabilità critica su una macchina offline rappresenta un rischio molto diverso dalla stessa vulnerabilità su un server attivo ed esposto a Internet.