Embargo rikkumised ja plaastrite arendamise viivitamine PHP haavatavuste kõrvaldamisel

PHP arendajad avaldasid aruande probleemidest, mis tekkisid eile parandatud kriitiliste haavatavuste kõrvaldamise käigus. Teave haavatavuse kohta, mis tekkis mällu saadava mälu ammendumise tõttu, saadi välist auditi käigus juba 2024. aastal, kuid seda peeti vaid teoreetiliseks rünnaku võimaluseks. Parandamine viibis PHP arendajate vahelise konsensuse saavutamise probleemide tõttu, kuidas haavatavust kõrvaldada. Arutati mitmeid konkurentsivõimelisi ettepanekuid probleemi lahendamiseks, millest igaühel olid oma puudused. Tulemusena tuli valida tagasivaatava ühilduvuse rikkumise, uute rünnaku vektoreid põhjustavate teenuse osutamise katkestuste tekkimise ja vajaduse vahel teha muudatusi paljude kolmandate osapoolte lisades.

Mõni kuu tagasi avastasid Calif ja Wiz iseseisvalt probleemide ärakasutamise töömeetodid AI mudelite GPT‑5.6 ja Gemini 4 Argon abil ning teatasid PHP arendajatele 11. ja 24. augustil 2026. Paranduste arendusele määrati seejärel kõrgeim prioriteet ja alustati otsustusprotsessi reformimist, et kiiremini reageerida keeruliste kompromisside küsimustes (sellised otsused võivad nüüd olla võetud enamikuhäältega, ilma ranged konsensuse saavutamiseta).

Algse kooskõlastatuna distributsioonidega oligi paranduse väljaandmise kuupäev määratud 22. oktoobrile, kuid see viidi edasi 21. oktoobrile pärast 20. oktoobril sotsiaalmeedias CVE-identifikaatorite ja vale info lekke avaldamist tulevaste täienduste väljaandmise aja kohta.

Peale lähiajal välja kuulutatud paranduste teate Calif, kes avastas ühe haavatavuse, ekslikult avaldas video demonstreerimaks eksploitatsiooni tööprotsessi, kus olid nähtavad mõned detailid, mis kitsendasid probleemi otsingu ja info taastamise piirkonda. Video eemaldati kiiresti, mis ainult viis uurijate soovi süveneda haavatavuse olemusse ja kiirendas töötamist alternatiivsete eksploitatsiooni prototüüpide kallal.

Lisaks sellele rikkus ettevõte Chainguard kuus tundi enne kavandatud paranduste avaldamist embargo ja avaldas oma distributsiooni kogumid, mis sisaldasid parandatud versiooni PHP-st. Selline rikkumine andis kurjategijatele võimaluse uurida parandust enne ametlikku väljalaset ning rippis kõik koordineeritud teabe avalikustamise ja paranduste samal ajal avaldamise tööd erinevates distributsioonides.

Täiendav teave: 16 tundi pärast mingite haavatavuste detaile avaldamist pole universaalse töö eksploiti kohta veel suuremaid rünnakuid toimunud, mis on seletatav haavatavuse keerukusega, kuna on vajalik määrata struktuuride paigutus protsessi mälus, mis on iga versiooni jaoks spetsiifiline. Avaldatud töötavad eksploidi prototüübid on seotud erikoodide seadistustega ja rünnaku läbiviimisega laboratoorsetes tingimustes. Samuti on ilmunud palju valeeksploite, mis on AI hallutsinatsioonid, luues vaid rünnaku illusiooni, mis on seotud konfiguratsioonivigadega või mis töötavad ainult teiste kriitiliste haavatavuste olemasolu korral.

Allikas: opennet.ru