Egy példátlan tömeges közzététel

Egy "bikini" név alatt működő GitHub-fiók egyetlen kiadásban 204 nulladik napi koncepcióigazoló exploitot tett közzé a Cyber Security News jelentése szerint. A kiszivárogtatás állítólag tucatnyi nyílt forráskódú projektet érint, és ami kulcsfontosságú, mindez még azelőtt történt, hogy az érintett szállítóknak esélyük lett volna javításokat kiadni. Ez az időzítés az, ami miatt ez az eset kiemelkedik a rutinszerű sebezhetőség-közzétételek közül: a hibák kihasználásához szükséges kód pontosan ugyanabban a pillanatban, vagy még azelőtt nyilvánosságra került, hogy a fejlesztők egyáltalán tudtak volna a hibák létezéséről.

A nulladik napi sebezhetőségek definíció szerint olyan biztonsági rések, amelyeket a szállítók még nem javítottak. Általában a hibákat felfedező kutatók az úgynevezett koordinált közzétételt követik: bizalmasan értesítik a szoftvergyártót, időt adnak a javítás elkészítésére, és csak a patch elérhetővé válása után publikálják a technikai részleteket. 204 exploit egyidejű, ezen időablak nélküli közzététele gyakorlatilag egy kész támadói eszköztárat ad a támadók kezébe, miközben a védők még csak most igyekeznek megérteni, hogy mi romlott el.

Miért más ez a nulladik napi exploit-kiszivárogtatás?

A legtöbb, egyedi nulladik napi hibákról szóló tudósítás egyetlen termék egyetlen hibájára összpontosít. Ez az eset a puszta mérete miatt figyelemre méltó. Egyetlen nagy horderejű hiba helyett a kiadás állítólag a nyílt forráskódú szoftverek széles skáláját érinti, azokat a kódkönyvtárakat és eszközöket, amelyek számtalan weboldal, alkalmazás és belső üzleti rendszer mögött húzódnak meg csendben anélkül, hogy a legtöbb felhasználó valaha is tudna a létezésükről.

Ez részben az, ami a nyílt forráskódú szoftverek biztonságát olyan bonyolulttá teszi. Egyetlen népszerű könyvtár több ezer downstream termékbe ágyazódhat be, így egyetlen javítatlan hiba nem csupán egy szállítót fenyeget, hanem mindenkit, aki arra a kódra épített. Amikor 204 ilyen probléma egyszerre kerül felszínre, számos, egymástól független szervezet biztonsági csapatainak hirtelen mindent egyszerre kell osztályozniuk, priorizálniuk és reagálniuk, előzetes értesítés és alkalmazható, ellenőrzött javítás nélkül.

A "teljes közzététel" (a sebezhetőség részleteinek azonnali publikálása) kontra "felelős közzététel" (időt adva a szállítóknak az előzetes javításra) körüli vita nem új keletű. Ami itt szokatlan, az a méret és a cselekvő anonimitása. Anélkül, hogy tudnánk, ki az a "bikini", vagy miért döntött úgy, hogy mindent egyszerre tesz közzé, nehéz megmondani, hogy ez a közzétételi etikával kapcsolatos szándékos állásfoglalás, a lassú szállítói válaszidők elleni tiltakozás, vagy valami egészen más volt-e.

Adatvédelmi vonatkozások a hétköznapi felhasználók számára

A legtöbb ember nem lép közvetlenül kapcsolatba nyílt forráskódú kódtárolókkal, de ez nem jelenti azt, hogy védve lennének az ilyen eseményektől. A nyílt forráskódú komponensek böngészőkbe, üzenetküldő alkalmazásokba, felhőalapú tárolószolgáltatásokba és számtalan más, napi szinten használt eszközbe vannak beépítve. Ha a 204 közzétett hiba bármelyike olyan szoftvert érint, amelyet Ön használ – akár közvetve is –, adatai ki lehetnek téve a javítási ciklusnál gyorsabban mozgó támadóknak.

Ez különösen fontos mindazok számára, akiknek személyes, pénzügyi vagy kommunikációs adatai érintett szolgáltatásokon keresztül áramlanak, amíg a javítás függőben van. Az ilyen közzétételeket figyelő támadók gyakran órákon belül, nem pedig napokon belül lépnek, hogy a nyilvános exploitkódot fegyverré alakítsák. Amíg a szállítók ki nem adják a javításokat, és a felhasználók nem telepítik azokat, valós rés keletkezik, ahol az érzékeny forgalmat elfoghatják, vagy a rendszereket feltörhetik.

Bár egyetlen eszköz sem szünteti meg teljesen ezt a fajta kockázatot, a hozzáadott védelmi rétegek csökkenthetik a kitettséget, amíg az ökoszisztéma felzárkózik. Például egy többlépcsős VPN több szerveren és titkosítási rétegen keresztül irányítja a forgalmat, ami jelentősen megnehezítheti egy hálózati szintű hibát kihasználó támadó számára, hogy a tevékenységet egy adott személyhez kösse, még akkor is, ha sikerül némi adatot elfognia útközben.

Mit jelent ez Önnek?

Ha olyan szoftvert üzemeltet vagy tart karban, amely nyílt forráskódú komponensekre támaszkodik, ez egy jel, hogy az elkövetkező napokban fokozottan figyelje a szállítói tanácsadókat, és a javítások megjelenésének pillanatában alkalmazza azokat, ahelyett, hogy egy rutinszerű frissítési ciklusra várna. Ha Ön hétköznapi felhasználó, a gyakorlati tanulság egyszerűbb: állítsa alkalmazásait, böngészőit és operációs rendszereit automatikus frissítésre, mivel az érintett komponensek javításai valószínűleg normál szoftverfrissítéseken keresztül fognak megjelenni, nem igényelnek közvetlen beavatkozást Öntől.

Érdemes azt is szem előtt tartani, hogy az ehhez hasonló tömeges nulladik napi kiszivárogtatások hajlamosak opportunista pásztázási és kihasználási kísérletek hullámát kiváltani az interneten. Még ha Ön nem is közvetlen célpont, a rossz javítási fegyelem a hálózat bármely pontján olyan belépési pontot teremthet, amely továbbgyűrűzik.

Gyakorlati teendők

  • Frissítsen minden szoftvert, böngészőt és alkalmazást, amint a javítások elérhetővé válnak; ne késleltesse a rutinfrissítéseket az aktív nulladik napi közzététel időszakaiban.
  • Ha nyílt forráskódú komponensekre épülő szervereket vagy alkalmazásokat kezel, naponta ellenőrizze a szállítói biztonsági tanácsadókat, amíg a helyzet nem stabilizálódik.
  • Fontolja meg további védelmi rétegek, például többlépcsős VPN használatát érzékeny böngészéshez vagy kommunikációhoz, amíg az ismert sebezhetőségek javítatlanok maradnak.
  • Kerülje a közzétett koncepcióigazoló kód kíváncsiságból történő letöltését vagy futtatását; ezzel saját rendszereit teheti ki szükségtelen kockázatnak.

Ez a nulladik napi exploit-kiszivárogtatás emlékeztet arra, hogy a szoftverbiztonság közös felelősség. A szállítóknak gyorsan kell javítaniuk, de a felhasználóknak és a rendszergazdáknak is gyorsan kell cselekedniük, amint a javítások elérhetővé válnak. A frissítések naprakészen tartása továbbra is a leghatékonyabb védekezés az ehhez hasonló fenyegetésekkel szemben.