מיקרוסופט מבקרת לאחר שהאב-טיפוס של Microsoft Exchange Exploit הוסר מ-GitHub

מיקרוסופט הסירה מ-GitHub את הקוד (העתק) עם ניצול אב טיפוס המדגים את עקרון הפעולה של פגיעות קריטית ב-Microsoft Exchange. פעולה זו עוררה זעם בקרב חוקרי אבטחה רבים, שכן אב הטיפוס של הניצול פורסם לאחר שחרורו של התיקון, שהוא נוהג מקובל.

כללי GitHub מכילים סעיף האוסר על הצבת קוד זדוני פעיל או ניצול (כלומר, אלו התוקפים מערכות משתמשים) במאגרים, כמו גם שימוש ב-GitHub כפלטפורמה לאספקת ניצול וקוד זדוני במהלך התקפות. אבל כלל זה לא יושם בעבר על אבות טיפוס של קוד שמתארח על ידי חוקרים שפורסמו כדי לנתח שיטות התקפה לאחר שספק משחרר תיקון.

מכיוון שקוד כזה בדרך כלל לא מוסר, הפעולות של GitHub נתפסו כמי שמיקרוסופט משתמשת במשאבים ניהוליים כדי לחסום מידע על הפגיעות במוצר שלה. המבקרים האשימו את מיקרוסופט בסטנדרטים כפולים ובצנזור תכנים בעלי עניין רב בקהילת מחקרי האבטחה, פשוט משום שהתוכן פוגע באינטרסים של מיקרוסופט. לדברי חבר בצוות Google Project Zero, הפרקטיקה של פרסום אבות טיפוס מנצלים מוצדקת והתועלת עולה על הסיכון, שכן אין דרך לחלוק תוצאות מחקר עם מומחים אחרים מבלי שמידע זה ייפול לידי התוקפים.

חוקר מ-Kryptos Logic ניסה להתנגד, והצביע על כך שבמצב שבו יש עדיין יותר מ-50 אלף שרתי Microsoft Exchange לא מעודכנים ברשת, פרסום אבות טיפוס מוכנים להתקפות נראה בספק. הנזק שיכול לגרום לפרסום מוקדם של ניצולים עולה על התועלת עבור חוקרי אבטחה, שכן ניצולים כאלה חושפים מספר רב של שרתים שטרם עודכנו.

נציגי GitHub התייחסו להסרה כהפרה של מדיניות השימוש המקובל של השירות והצהירו כי הם מבינים את החשיבות של פרסום אבות טיפוס מנצלים למטרות מחקר וחינוך, אך גם מכירים בסכנת הנזק שהם עלולים לגרום בידי התוקפים. לכן, GitHub מנסה למצוא את האיזון האופטימלי בין האינטרסים של קהילת מחקרי האבטחה לבין ההגנה על קורבנות פוטנציאליים. במקרה זה, פרסום ניצול המתאים לביצוע התקפות, בתנאי שיש מספר רב של מערכות שטרם עודכנו, נחשב כמפר את כללי GitHub.

ראוי לציין שההתקפות החלו בינואר, הרבה לפני שחרור התיקון וחשיפת מידע על נוכחות הפגיעות (0-יום). לפני פרסום אב-טיפוס ה-exploit, כבר הותקפו כ-100 אלף שרתים, עליהם הותקנה דלת אחורית לשליטה מרחוק.

אב טיפוס מרוחק של ניצול GitHub הדגים את הפגיעות של CVE-2021-26855 (ProxyLogon), המאפשרת לחלץ את הנתונים של משתמש שרירותי ללא אימות. בשילוב עם CVE-2021-27065, הפגיעות אפשרה גם להפעיל קוד בשרת עם זכויות מנהל.

לא כל המנצלים הוסרו; לדוגמה, גרסה פשוטה של ​​ניצול אחר שפותח על ידי צוות GreyOrder עדיין נשארת ב-GitHub. הערת ה-exploit מציינת כי ניצול GreyOrder המקורי הוסר לאחר שנוספה פונקציונליות נוספת לקוד כדי לספור משתמשים בשרת הדואר, שיכולים לשמש לביצוע התקפות המוניות על חברות המשתמשות ב-Microsoft Exchange.

מקור: OpenNet.ru