Triagem: CVE-2017-0144 (EternalBlue / SMBv1 — associado à propagação do WannaCry)

Para este laboratório, o objetivo era fazer a triagem de outra vulnerabilidade real bem conhecida, desta vez o EternalBlue, a falha do SMBv1 que ficou famosa por ser explorada no surto do ransomware WannaCry.

Passo 1: Abrir o CVE no NVD

Acessei o National Vulnerability Database e procurei o CVE:

https://nvd.nist.gov/vuln/search#/nvd/home?resultType=records

Pesquisei por CVE-2017-0144 e abri a página de resultados.

Passo 2: Identificar o ativo e a exposição

Após ler a descrição, respondi a algumas perguntas básicas para entender o que está realmente em risco:

• Que tipo de software é afetado? Servidor SMBv1
• Onde esse software normalmente é executado? Uma ampla variedade de versões do Windows, incluindo Windows Vista SP2, Windows Server 2008 SP2 e R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012 (Gold e R2), Windows RT 8.1, Windows 10 (Gold, 1511 e 1607) e Windows Server 2016
• O que o torna arriscado em ambientes empresariais? Ele permite que um invasor execute código arbitrário no servidor e tenha controle total da máquina, incluindo a capacidade de acessar e alterar arquivos e executar o código que quiser

Passo 3: Registrar a pontuação base CVSS e a string do vetor

Encontrei a pontuação CVSS e a string do vetor listadas na página:

Passo 4: Detalhar a string do vetor

Analisei a string do vetor parte por parte para entender o que cada item realmente significava:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

• Vetor de Ataque - Rede
• Complexidade do Ataque - Baixa
• Privilégios Necessários - Baixos
• Interação do Usuário - Nenhuma
• Escopo - Inalterado
• Confidencialidade - Alta
• Integridade - Alta
• Disponibilidade - Alta

Este exige uma pequena quantidade de privilégio para ser explorado (diferente do ProxyLogon, que não exigia nenhum), mas ainda assim não requer interação do usuário, e um ataque bem-sucedido ainda compromete totalmente a confidencialidade, a integridade e a disponibilidade. Essa combinação é uma grande parte do motivo pelo qual o EternalBlue era tão perigoso quando combinado com um worm de autopropagação como o WannaCry.

Passo 5: Encontrar a categoria CWE

Verifiquei a seção de Enumeração de Fraquezas na página do NVD para este CVE, mas nenhuma CWE foi listada para ele.

Passo 6: Responder a uma pergunta de risco

Considerei se eu trataria isso como risco maior ou menor em dois cenários diferentes.

Cenário 1: O software vulnerável está ativo e acessível. Risco maior. Esta vulnerabilidade permite que um invasor acesse remotamente o servidor, execute código e acesse arquivos.

Cenário 2: O software vulnerável está instalado em uma máquina que está desligada e não acessível. Risco menor. Sem energia ou conexão de rede, não há como um invasor alcançar o servidor para explorar a vulnerabilidade em primeiro lugar.

Conclusão

Comparando isso com a triagem do ProxyLogon, é um bom exemplo de como duas vulnerabilidades críticas ainda podem diferir nos detalhes: o EternalBlue exige privilégios baixos, enquanto o ProxyLogon não exigia nenhum, mas ambos ainda caem na categoria de "tratar como alto risco" quando se observa o quanto de dano uma exploração bem-sucedida poderia causar. Assim como antes, o risco real ainda se resume ao contexto: a mesma vulnerabilidade é muito menos perigosa em uma máquina que está offline e inacessível.