Microsoft-ის კრიტიკა GitHub-დან Microsoft Exchange-ის პროტოტიპის ექსპლოიტის ამოღების შემდეგ

Microsoft-მა GitHub-დან ამოიღო კოდი (ასლი) პროტოტიპის ექსპლოიტით, რომელიც აჩვენებს Microsoft Exchange-ში კრიტიკული დაუცველობის მოქმედების პრინციპს. ამ ქმედებამ გამოიწვია უსაფრთხოების მრავალი მკვლევარის აღშფოთება, რადგან ექსპლოიტის პროტოტიპი გამოქვეყნდა პატჩის გამოშვების შემდეგ, რაც ჩვეულებრივი პრაქტიკაა.

GitHub-ის წესები შეიცავს პუნქტს, რომელიც კრძალავს აქტიური მავნე კოდის ან ექსპლოიტების განთავსებას (ანუ მომხმარებელთა სისტემებზე თავდასხმა) საცავებში, ასევე GitHub-ის გამოყენებას, როგორც პლატფორმას ექსპლოიტებისა და მავნე კოდის მიწოდებისთვის თავდასხმების დროს. მაგრამ ეს წესი ადრე არ იყო გამოყენებული მკვლევარის მიერ განთავსებული კოდის პროტოტიპებზე, რომლებიც გამოქვეყნდა თავდასხმის მეთოდების გასაანალიზებლად მას შემდეგ, რაც გამყიდველი ავრცელებს პატჩს.

ვინაიდან ასეთი კოდი, როგორც წესი, არ არის წაშლილი, GitHub-ის ქმედებები აღიქმებოდა, როგორც Microsoft-ი იყენებს ადმინისტრაციულ რესურსებს მისი პროდუქტის დაუცველობის შესახებ ინფორმაციის დაბლოკვის მიზნით. კრიტიკოსები ადანაშაულებენ მაიკროსოფტს ორმაგ სტანდარტებში და უსაფრთხოების კვლევითი საზოგადოებისთვის მაღალი ინტერესის შემცველი შინაარსის ცენზურაში მხოლოდ იმიტომ, რომ კონტენტი ზიანს აყენებს Microsoft-ის ინტერესებს. Google Project Zero გუნდის წევრის თქმით, ექსპლოიტის პროტოტიპების გამოქვეყნების პრაქტიკა გამართლებულია და სარგებელი აღემატება რისკს, რადგან არ არსებობს კვლევის შედეგების გაზიარება სხვა სპეციალისტებთან, თუ ეს ინფორმაცია არ მოხვდება თავდამსხმელების ხელში.

Kryptos Logic-ის მკვლევარი ცდილობდა შეეწინააღმდეგა და მიუთითა, რომ იმ სიტუაციაში, როდესაც ქსელში ჯერ კიდევ არის 50 ათასზე მეტი განახლებული Microsoft Exchange სერვერი, შეტევებისთვის მზად ექსპლოიტის პროტოტიპების გამოქვეყნება საეჭვოდ გამოიყურება. ზიანი, რომელიც შეიძლება გამოიწვიოს ექსპლოიტების ადრეულმა გამოქვეყნებამ, აღემატება სარგებელს უსაფრთხოების მკვლევარებისთვის, რადგან ასეთი ექსპლოიტები ავლენს სერვერების დიდ რაოდენობას, რომლებიც ჯერ კიდევ არ არის განახლებული.

GitHub-ის წარმომადგენლებმა კომენტარი გაუკეთეს წაშლას, როგორც სერვისის მისაღები გამოყენების პოლიტიკის დარღვევას და განაცხადეს, რომ მათ ესმით ექსპლოიტის პროტოტიპების გამოქვეყნების მნიშვნელობა კვლევითი და საგანმანათლებლო მიზნებისთვის, მაგრამ ასევე აღიარებენ ზიანის საშიშროებას, რომელიც შეიძლება გამოიწვიოს თავდამსხმელების ხელში. ამიტომ, GitHub ცდილობს იპოვოს ოპტიმალური ბალანსი უსაფრთხოების კვლევის საზოგადოების ინტერესებსა და პოტენციურ მსხვერპლთა დაცვას შორის. ამ შემთხვევაში, შეტევების განსახორციელებლად შესაფერისი ექსპლოიტის გამოქვეყნება, იმ პირობით, რომ არსებობს უამრავი სისტემა, რომელიც ჯერ კიდევ არ არის განახლებული, ითვლება GitHub-ის წესების დარღვევად.

აღსანიშნავია, რომ თავდასხმები დაიწყო იანვარში, დაუცველობის არსებობის შესახებ ინფორმაციის დაფიქსირებისა და გამჟღავნებამდე დიდი ხნით ადრე. ექსპლოიტის პროტოტიპის გამოქვეყნებამდე უკვე 0 ათასამდე სერვერზე იყო თავდასხმა, რომლებზეც დაყენებული იყო დისტანციური მართვის უკანა კარი.

დისტანციური GitHub ექსპლოიტის პროტოტიპმა აჩვენა CVE-2021-26855 (ProxyLogon) დაუცველობა, რომელიც საშუალებას აძლევს თვითნებური მომხმარებლის მონაცემების ამოღებას ავთენტიფიკაციის გარეშე. CVE-2021-27065-თან კომბინირებისას, დაუცველობამ ასევე დაუშვა კოდის შესრულება სერვერზე ადმინისტრატორის უფლებებით.

ყველა ექსპლოიტი არ არის ამოღებული; მაგალითად, GreyOrder გუნდის მიერ შემუშავებული სხვა ექსპლოიტის გამარტივებული ვერსია კვლავ რჩება GitHub-ზე. ექსპლოიტის შენიშვნაში ნათქვამია, რომ ორიგინალური GreyOrder-ის ექსპლოიტი წაიშალა მას შემდეგ, რაც კოდს დაემატა დამატებითი ფუნქციონირება, რათა დარიცხულიყო მომხმარებლები ფოსტის სერვერზე, რომელიც შეიძლება გამოყენებულ იქნას Microsoft Exchange-ის გამოყენებით კომპანიებზე მასობრივი თავდასხმების განსახორციელებლად.

წყარო: opennet.ru