このラボでは、もう1つの有名な実世界の脆弱性をトリアージすることが目的でした。今回は EternalBlue、WannaCry ランサムウェアの発生で有名に悪用された SMBv1 の欠陥です。
私は National Vulnerability Database にアクセスし、CVE を調べました:
https://nvd.nist.gov/vuln/search#/nvd/home?resultType=records
私は CVE-2017-0144 を検索し、結果ページを開きました。
説明を読んだ後、実際に何がリスクにさらされているのかを理解するために、いくつかの基本的な質問に答えました:
ページに記載されている CVSS スコアとベクター文字列を確認しました:
ベクター文字列を一つ一つ確認し、各部分が実際に何を意味するのかを見ていきました:
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
これは、悪用に少量の特権を必要とします（まったく必要としなかった ProxyLogon とは異なります）が、ユーザー操作は不要であり、攻撃が成功すれば機密性、完全性、可用性を完全に侵害します。この組み合わせは、EternalBlue が WannaCry のような自ら拡散するワームと組み合わせられたときに、これほど危険だった大きな理由です。
この CVE について NVD ページの Weakness Enumeration セクションを確認しましたが、CWE は記載されていませんでした。
2つの異なるシナリオで、これを高リスクと見なすか低リスクと見なすかを検討しました。
シナリオ 1: 脆弱なソフトウェアが稼働しており、到達可能である。 高リスク。この脆弱性により、攻撃者はサーバーにリモートアクセスし、コードを実行し、ファイルにアクセスできます。
シナリオ 2: 脆弱なソフトウェアが、電源が切れていて到達不能なマシンにインストールされている。 低リスク。電源もネットワーク接続もないため、攻撃者がそもそもサーバーに到達して脆弱性を悪用する方法はありません。
これを ProxyLogon のトリアージと比較すると、2つの重要な脆弱性でも詳細が異なることを示す良い例です。EternalBlue は低い特権を必要とする一方、ProxyLogon は特権を必要としませんでしたが、悪用に成功した場合の被害の大きさを考えると、どちらも「高リスクとして扱う」カテゴリに入ります。前回と同じように、実際のリスクは状況次第です。同じ脆弱性でも、オフラインで到達不能なマシン上でははるかに危険性が低くなります。