probablysecure/triage-cve-2017-0144目的は、既知の攻撃をトリアージし、セキュリティチームが迅速に対応する方法を学ぶことです。
このラボでは、もう1つのよく知られた現実世界の脆弱性をトリアージすることが目標でした。今回は、WannaCryランサムウェアの発生で有名になったSMBv1の欠陥であるEternalBlueです。
National Vulnerability Database（NVD）にアクセスし、そのCVEを調べました。
https://nvd.nist.gov/vuln/search#/nvd/home?resultType=records
CVE-2017-0144 を検索し、結果ページを開きました。
説明を一通り読んだ後、実際に何がリスクにさらされているのかを理解するために、いくつかの基本的な質問に答えました。
ページに記載されているCVSSスコアとベクター文字列を見つけました。
ベクター文字列を一つ一つ確認し、各部分が実際に何を意味するのかを確認しました。
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
これは悪用に少量の権限を必要とします（ProxyLogonは権限が不要でした）。しかし、ユーザーの操作は必要なく、攻撃が成功すると機密性、完全性、可用性が完全に侵害されます。この組み合わせが、WannaCryのような自己拡散型ワームと組み合わされたときに、EternalBlueが非常に危険だった大きな理由です。
このCVEのNVDページでWeakness Enumerationセクションを確認しましたが、CWEは記載されていませんでした。
2つの異なるシナリオで、これを高リスクと見なすか低リスクと見なすかを検討しました。
シナリオ1: 脆弱なソフトウェアが稼働しており、到達可能である。 高リスク。この脆弱性により、攻撃者はサーバーにリモートアクセスし、コードを実行し、ファイルにアクセスできるようになります。
シナリオ2: 脆弱なソフトウェアが電源オフで到達不可能なマシンにインストールされている。 低リスク。電源がなくネットワーク接続もないため、攻撃者がそもそもサーバーに到達して脆弱性を悪用する方法はありません。
これをProxyLogonのトリアージと比較すると、2つの重大な脆弱性が詳細において異なり得ることを示す良い例です。EternalBlueは低い権限を必要としますが、ProxyLogonは権限を必要としませんでした。それでも、悪用に成功した場合にどれだけの被害が生じるかを考えれば、両方とも「高リスクとして扱う」カテゴリに分類されます。前回と同様、実際のリスクはやはり状況次第です。同じ脆弱性でも、オフラインで到達不能なマシン上では危険性がはるかに低くなります。