Триаж: CVE-2017-0144 (EternalBlue / SMBv1 — связан с распространением WannaCry)

В этой лабораторной работе целью было провести триаж ещё одной известной реальной уязвимости — на этот раз EternalBlue, ошибки в SMBv1, которая получила широкую известность благодаря вспышке программы-вымогателя WannaCry.

Шаг 1: Откройте CVE в NVD

Я перешёл в Национальную базу данных уязвимостей (NVD) и нашёл этот CVE:

https://nvd.nist.gov/vuln/search#/nvd/home?resultType=records

Я выполнил поиск по CVE-2017-0144 и открыл страницу с результатом.

Шаг 2: Определите актив и степень подверженности риску

Ознакомившись с описанием, я ответил на несколько основных вопросов, чтобы понять, что именно находится под угрозой:

• Какое программное обеспечение затронуто? Сервер SMBv1
• Где обычно работает это программное обеспечение? Широкий спектр версий Windows, включая Windows Vista SP2, Windows Server 2008 SP2 и R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012 (Gold и R2), Windows RT 8.1, Windows 10 (Gold, 1511 и 1607) и Windows Server 2016
• Что делает её рискованной в корпоративных сетях? Она позволяет атакующему выполнять произвольный код на сервере и даёт ему полный контроль над машиной, включая возможность доступа к файлам, их изменения и запуск любого нужного кода

Шаг 3: Зафиксируйте базовую оценку CVSS и векторную строку

Я нашёл оценку CVSS и векторную строку на странице:

Шаг 4: Разберите векторную строку

Я разобрал векторную строку по частям, чтобы посмотреть, что означает каждая часть:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

• Вектор атаки - Сеть
• Сложность атаки - Низкая
• Требуемые привилегии - Низкие
• Взаимодействие с пользователем - Не требуется
• Область действия - Без изменений
• Конфиденциальность - Высокая
• Целостность - Высокая
• Доступность - Высокая

Эта уязвимость требует небольшого объёма привилегий для эксплуатации (в отличие от ProxyLogon, которому они не требовались вовсе), но ей по-прежнему не нужно взаимодействие с пользователем, а успешная атака по-прежнему полностью нарушает конфиденциальность, целостность и доступность. Именно это сочетание во многом объясняет, почему уязвимость EternalBlue была так опасна, когда её объединили с самораспространяющимся червём вроде WannaCry.

Шаг 5: Найдите категорию CWE

Я проверил раздел Weakness Enumeration на странице NVD для этого CVE, но для него не было указано ни одной CWE.

Шаг 6: Ответьте на вопрос о риске

Я рассмотрел, счёл бы я это более высоким или более низким риском в двух разных сценариях.

Сценарий 1: Уязвимое программное обеспечение работает и доступно. Более высокий риск. Эта уязвимость позволяет атакующему удалённо получить доступ к серверу, выполнять код и получать доступ к файлам.

Сценарий 2: Уязвимое программное обеспечение установлено на машине, которая выключена и недоступна. Более низкий риск. Без питания и сетевого подключения у атакующего нет никакой возможности вообще добраться до сервера, чтобы воспользоваться уязвимостью.

Заключение

Сравнивая это с триажем ProxyLogon, можно сказать, что это хороший пример того, как две критические уязвимости могут различаться в деталях: EternalBlue требует низких привилегий, тогда как ProxyLogon не требовал никаких, но обе всё равно попадают в категорию «считать высоким риском», если посмотреть, какой ущерб может нанести успешная эксплуатация. Как и раньше, фактический риск сводится к контексту: та же самая уязвимость гораздо менее опасна на машине, которая находится офлайн и недоступна.