트라이지: CVE-2017-0144 (EternalBlue / SMBv1 — WannaCry 확산과 연관)

이 랩의 목표는 또 다른 잘 알려진 실제 세계 취약점, 이번에는 WannaCry 랜섬웨어 사태로 악명 높았던 SMBv1 결함인 EternalBlue를 트라이지하는 것이었습니다.

1단계: NVD에서 CVE 열기

국가 취약점 데이터베이스(National Vulnerability Database)에 접속해 해당 CVE를 검색했습니다:

https://nvd.nist.gov/vuln/search#/nvd/home?resultType=records

CVE-2017-0144를 검색하고 결과 페이지를 열었습니다.

2단계: 자산과 노출 범위 파악

설명을 읽은 후 실제로 무엇이 위험에 처해 있는지 이해하기 위해 몇 가지 기본 질문에 답했습니다:

• 영향을 받는 소프트웨어 유형은 무엇인가? SMBv1 서버
• 해당 소프트웨어는 일반적으로 어디에서 실행되는가? 광범위한 Windows 버전(Windows Vista SP2, Windows Server 2008 SP2 및 R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012(Gold 및 R2), Windows RT 8.1, Windows 10(Gold, 1511 및 1607), Windows Server 2016 포함)
• 기업 환경에서 왜 위험한가? 공격자가 서버에서 임의 코드를 실행할 수 있게 하고, 파일 접근 및 변경, 원하는 코드 실행 능력을 포함한 머신의 완전한 제어권을 부여합니다

3단계: CVSS 기본 점수 및 벡터 문자열 기록

페이지에 나열된 CVSS 점수와 벡터 문자열을 확인했습니다:

4단계: 벡터 문자열 분석

벡터 문자열을 하나씩 살펴보며 각 부분이 실제로 무엇을 의미하는지 확인했습니다:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

• 공격 경로(Attack Vector) - 네트워크(Network)
• 공격 복잡성(Attack Complexity) - 낮음(Low)
• 필요 권한(Privileges Required) - 낮음(Low)
• 사용자 상호작용(User Interaction) - 없음(None)
• 범위(Scope) - 변경되지 않음(Unchanged)
• 기밀성(Confidentiality) - 높음(High)
• 무결성(Integrity) - 높음(High)
• 가용성(Availability) - 높음(High)

이 취약점은 악용에 약간의 권한이 필요하지만(아무것도 필요하지 않았던 ProxyLogon과 달리), 여전히 사용자 상호작용은 필요하지 않으며, 성공적인 공격은 기밀성, 무결성, 가용성을 완전히 손상시킵니다. 이러한 조합은 EternalBlue가 WannaCry와 같은 스스로 확산되는 웜과 결합됐을 때 그토록 위험했던 큰 이유 중 하나입니다.

5단계: CWE 카테고리 찾기

NVD 페이지의 Weakness Enumeration 섹션에서 이 CVE를 확인했지만, 나열된 CWE는 없었습니다.

6단계: 위험 질문에 답하기

두 가지 다른 시나리오에서 이 취약점을 더 높은 위험 또는 더 낮은 위험으로 취급할지 고려했습니다.

시나리오 1: 취약한 소프트웨어가 활성화되어 있고 접근 가능한 상태입니다. 더 높은 위험입니다. 이 취약점은 공격자가 서버에 원격으로 접근해 코드를 실행하고 파일에 접근할 수 있게 합니다.

시나리오 2: 취약한 소프트웨어가 전원이 꺼져 있고 접근할 수 없는 머신에 설치되어 있습니다. 더 낮은 위험입니다. 전원이나 네트워크 연결이 없으면 공격자가 서버에 실제로 도달해 취약점을 악용할 방법이 애초에 없습니다.

결론

이를 ProxyLogon 트라이지와 비교하면, 두 중요한 취약점이 어떻게 세부 사항에서 다를 수 있는지 보여주는 좋은 예시입니다. EternalBlue는 낮은 권한이 필요한 반면 ProxyLogon은 아무 권한도 필요하지 않았지만, 성공적인 악용이 초래할 피해 규모를 보면 둘 다 여전히 "높은 위험으로 취급" 범주에 속합니다. 이전과 마찬가지로 실제 위험은 여전히 상황에 달려 있습니다. 동일한 취약점이라도 오프라인이고 접근 불가능한 머신에서는 훨씬 덜 위험합니다.