En enestående masseavsløring

En GitHub-konto under navnet "bikini" har publisert 204 zero-day proof-of-concept-utnyttelser i én enkelt utgivelse, ifølge en rapport fra Cyber Security News. Utslippet berører angivelig dusinvis av åpen kildekode-prosjekter, og avgjørende er at det skjedde før noen av de berørte leverandørene fikk mulighet til å utgi oppdateringer. Denne timingen er det som gjør hendelsen spesiell sammenlignet med rutinemessige sårbarhetsavsløringer: koden som trengs for å utnytte disse svakhetene ble gjort offentlig tilgjengelig samtidig, eller før, utviklere i det hele tatt visste at svakhetene fantes.

Zero-day-sårbarheter er per definisjon sikkerhetshull som leverandører ennå ikke har rettet. Normalt følger forskere som finner disse hullene det som kalles koordinert avsløring: de varsler programvareprodusenten privat, gir dem tid til å lage en rettelse, og publiserer tekniske detaljer først når en oppdatering er tilgjengelig. Å slippe 204 utnyttelser på én gang, uten dette tidsvinduet, gir i praksis angripere en ferdig verktøykasse mens forsvarerne fortsatt strever med å forstå hva som er ødelagt.

Hvorfor dette zero-day-utslippet er annerledes

De fleste omtaler av enkeltstående zero-dager fokuserer på ett enkelt hull i ett enkelt produkt. Denne saken er bemerkelsesverdig på grunn av sin rene skala. I stedet for én høyprofilert feil, skal utgivelsen angivelig spenne over et bredt spekter av åpen kildekode-programvare – den typen kodebiblioteker og verktøy som ligger stille under utallige nettsteder, apper og interne forretningssystemer uten at de fleste brukere noen gang vet at de er der.

Dette er en del av det som gjør sikkerhet i åpen kildekode så utfordrende. Ett enkelt populært bibliotek kan være innebygd i tusenvis av nedstrømsprodukter, så ett uoppdatert hull truer ikke bare én leverandør – det truer alle som har bygget oppå den koden. Når 204 slike problemer dukker opp samtidig, må sikkerhetsteam i mange – og seg imellom urelaterte – organisasjoner plutselig sortere, prioritere og respondere på én gang, uten forhåndsvarsel og uten en verifisert rettelse å innføre.

Debatten om "full avsløring" (å publisere sårbarhetsdetaljer umiddelbart) versus "ansvarlig avsløring" (å gi leverandører tid til å rette først) er ikke ny. Det uvanlige her er omfanget og anonymiteten til den som gjør det. Uten å vite hvem "bikini" er eller hvorfor de valgte å slippe alt på én gang, er det vanskelig å si om dette var et bevisst standpunkt om avsløringsetikk, en protest mot trege responstider hos leverandører, eller noe helt annet.

Personvernimplikasjoner for vanlige brukere

De fleste har ikke direkte kontakt med kodelagre for åpen kildekode, men det betyr ikke at de er skjermet fra denne typen hendelser. Åpen kildekode-komponenter er innebygd i nettlesere, meldingsapper, skylagringstjenester og utallige verktøy folk er avhengige av daglig. Hvis noen av de 204 avslørte hullene påvirker programvare du bruker, selv indirekte, kan dataene dine bli eksponert for angripere som beveger seg raskere enn oppdateringssyklusen.

Dette er spesielt relevant for alle hvis personopplysninger, finansdata eller kommunikasjon flyter gjennom berørte tjenester mens en rettelse venter. Angripere som overvåker disse avsløringene, handler ofte i løpet av timer, ikke dager, for å våpenliggjøre offentlig utnyttelseskode. Inntil leverandører sender ut oppdateringer og brukere installerer dem, er det et reelt vindu der sensitiv trafikk kan avskjæres eller systemer kompromitteres.

Ingen enkeltverktøy eliminerer denne typen risiko, men ekstra beskyttelseslag kan redusere eksponeringen mens økosystemet innhenter seg. For eksempel ruter en multi-hop VPN trafikk gjennom flere servere og krypteringslag, noe som kan gjøre det betydelig vanskeligere for en angriper som utnytter et sårbarhet på nettverksnivå, å spore aktivitet tilbake til en bestemt person, selv om de klarer å avskjære noe data underveis.

Hva dette betyr for deg

Hvis du driver eller vedlikeholder programvare som er avhengig av åpen kildekode-komponenter, er dette et signal om å følge nøye med på leverandørvarsler de kommende dagene og innføre rettelser i det øyeblikket de slippes, i stedet for å vente på en rutinemessig oppdateringssyklus. Hvis du er en vanlig bruker, er den praktiske lærdommen enklere: hold apper, nettlesere og operativsystemer innstilt på automatisk oppdatering, siden rettelser for berørte komponenter sannsynligvis rulles ut gjennom vanlige programvareoppdateringer uten at du trenger å foreta deg noe direkte.

Det er også verdt å huske at masseutslipp av zero-dager som dette har en tendens til å utløse en bølge av opportunistisk skanning og utnyttelsesforsøk over internett. Selv om du ikke er et direkte mål, kan dårlig oppdateringshygiene hvor som helst i et nettverk skape et inngangspunkt som forplanter seg videre.

Konkrete tiltak

  • Oppdater all programvare, nettlesere og apper så snart oppdateringer blir tilgjengelige; utsett ikke rutineoppdateringer i perioder med aktiv zero-day-avsløring.
  • Hvis du administrerer servere eller applikasjoner bygget på åpen kildekode-komponenter, gjennomgå leverandørers sikkerhetsvarsler daglig inntil situasjonen stabiliserer seg.
  • Vurder ekstra beskyttelseslag, som en multi-hop VPN, for sensitiv surfing eller kommunikasjon mens kjente sårbarheter forblir uopprettede.
  • Unngå å laste ned eller kjøre noen av de publiserte proof-of-concept-kodene av nysgjerrighet; å gjøre det kan eksponere dine egne systemer for unødvendig risiko.

Dette zero-day-utslippet er en påminnelse om at programvaresikkerhet er et delt ansvar. Leverandører må rette raskt, men brukere og administratorer må også handle raskt når rettelser er tilgjengelige. Å holde seg oppdatert forblir det mest effektive forsvaret mot trusler som dette.