Triage: CVE-2017-0144 (EternalBlue / SMBv1 — associata alla diffusione di WannaCry)

Per questo laboratorio, l'obiettivo era fare triage su un'altra nota vulnerabilità reale, questa volta EternalBlue, il difetto di SMBv1 reso famoso dall'epidemia di ransomware WannaCry.

Step 1: Aprire il CVE in NVD

Sono andato sul National Vulnerability Database e ho cercato il CVE:

https://nvd.nist.gov/vuln/search#/nvd/home?resultType=records

Ho cercato CVE-2017-0144 e ho aperto la pagina dei risultati.

Step 2: Identificare l'asset e l'esposizione

Dopo aver letto la descrizione, ho risposto ad alcune domande di base per capire cosa sia realmente a rischio:

• Che tipo di software è interessato? Server SMBv1
• Dove viene tipicamente eseguito quel software? Un'ampia gamma di versioni di Windows, tra cui Windows Vista SP2, Windows Server 2008 SP2 e R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012 (Gold e R2), Windows RT 8.1, Windows 10 (Gold, 1511 e 1607) e Windows Server 2016
• Cosa lo rende rischioso nelle aziende? Consente a un attaccante di eseguire codice arbitrario sul server e gli dà il controllo completo della macchina, inclusa la capacità di accedere e modificare i file ed eseguire qualsiasi codice voglia

Step 3: Registrare il punteggio base CVSS e la stringa del vettore

Ho trovato il punteggio CVSS e la stringa del vettore elencati nella pagina:

Step 4: Analizzare la stringa del vettore

Ho esaminato la stringa del vettore pezzo per pezzo per vedere cosa significasse realmente ogni parte:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

• Vettore di attacco - Rete
• Complessità di attacco - Bassa
• Privilegi richiesti - Bassi
• Interazione con l'utente - Nessuna
• Scope - Invariato
• Riservatezza - Alta
• Integrità - Alta
• Disponibilità - Alta

Questo richiede una piccola quantità di privilegi per essere sfruttato (a differenza di ProxyLogon, che non ne richiedeva alcuno), ma non richiede comunque alcuna interazione con l'utente, e un attacco riuscito compromette comunque completamente riservatezza, integrità e disponibilità. Questa combinazione è in gran parte il motivo per cui EternalBlue è stato così pericoloso una volta abbinato a un worm auto-propagante come WannaCry.

Step 5: Trovare la categoria CWE

Ho controllato la sezione Weakness Enumeration nella pagina NVD per questo CVE, ma non era elencato alcun CWE.

Step 6: Rispondere a una domanda sul rischio

Ho valutato se avrei trattato questo come rischio più alto o più basso in due diversi scenari.

Scenario 1: il software vulnerabile è attivo e raggiungibile. Rischio più alto. Questa vulnerabilità consente a un attaccante di accedere da remoto al server, eseguire codice e accedere ai file.

Scenario 2: il software vulnerabile è installato su una macchina spenta e non raggiungibile. Rischio più basso. Senza alimentazione o connessione di rete, non c'è modo per un attaccante di raggiungere realmente il server per sfruttare la vulnerabilità.

Conclusione

Confrontando questo con il triage di ProxyLogon, è un buon esempio di come due vulnerabilità critiche possano comunque differire nei dettagli: EternalBlue richiede privilegi bassi mentre ProxyLogon non ne richiedeva alcuno, ma entrambe finiscono comunque nella categoria "trattare come rischio alto" una volta che si osserva quanto danno potrebbe fare uno sfruttamento riuscito. Proprio come prima, il rischio reale dipende comunque dal contesto: la stessa vulnerabilità è molto meno pericolosa su una macchina offline e non raggiungibile.