Το Ίδρυμα PHP αναγνώρισε ότι προβλήματα στη λήψη αποφάσεων και περιορισμένοι πόροι καθυστέρησαν μια επιδιόρθωση ασφαλείας της PHP για ένα ελάττωμα που εντοπίστηκε για πρώτη φορά το 2024. Μετά την κυκλοφορία επειγουσών διορθώσεων για δύο συναφείς κρίσιμες ευπάθειες την Τετάρτη, κυβερνητικές υπηρεσίες και άλλοι οργανισμοί έθεσαν ιστότοπους εκτός λειτουργίας προληπτικά.

Βασικά σημεία

  • Το ίδρυμα χαρακτήρισε την καθυστερημένη απόκριση δομική αστοχία που αφορούσε τη διαδικασία ασφαλείας και τους πόρους του.
  • Οι ευπάθειες θα μπορούσαν να επιτρέψουν σε μη πιστοποιημένους επιτιθέμενους να εκτελέσουν κώδικα σε διακομιστές που επηρεάζονται.
  • Οργανισμοί του κλάδου των κρυπτονομισμάτων εξέτασαν την έκθεσή τους, ενώ οι Coinbase και BitGo δήλωσαν ότι δεν είχαν επηρεασμένα συστήματα.

Πίνακας περιεχομένων

Η επιδιόρθωση ασφαλείας της PHP καθυστέρησε λόγω ζητημάτων συμβατότητας και στελέχωσης

Η περιγραφή του ιδρύματος εστιάζει στον τρόπο με τον οποίο ένα γνωστό τεχνικό ζήτημα παρέμεινε άλυτο επί μήνες. Οι προγραμματιστές εντόπισαν ενδείξεις της ευπάθειας το 2024, αλλά δυσκολεύτηκαν να βρουν μια λύση που δεν θα διατάρασσε το εκτεταμένο οικοσύστημα λογισμικού που έχει αναπτυχθεί πάνω στην PHP, μια γλώσσα που χρησιμοποιείται ευρέως για ιστότοπους και διαδικτυακές εφαρμογές.

Σε εκείνο το στάδιο, οι προγραμματιστές δεν είχαν διαπιστώσει ότι ήταν δυνατή η απομακρυσμένη εκτέλεση κώδικα. Η μικρή ομάδα που διέθετε την απαιτούμενη γνώση της μηχανής PHP είχε και άλλες αρμοδιότητες, με αποτέλεσμα οι εργασίες για την επιδιόρθωση να σταματούν και να ξεκινούν επανειλημμένα, σύμφωνα με το ίδρυμα.

Το ίδρυμα περιέγραψε την καθυστέρηση ως «δομική αστοχία», η οποία προκλήθηκε τόσο από τη διαδικασία λήψης αποφάσεων της ομάδας ασφαλείας όσο και από τους ανεπαρκείς πόρους.

Το ζήτημα αναβαθμίστηκε σε κορυφαία προτεραιότητα ασφαλείας αφού η εταιρεία ασφαλείας Calif και η OpenAI ανέφεραν ανεξάρτητα το ίδιο υποκείμενο πρόβλημα στις 11 Αυγούστου. Η Calif απέδειξε ότι ήταν δυνατή η άνευ όρων απομακρυσμένη εκτέλεση κώδικα.

Οι προληπτικές διακοπές λειτουργίας επεκτάθηκαν σε δημόσιες υπηρεσίες

Οι επείγουσες εκδόσεις προκάλεσαν διακοπές σε πολλές χώρες, καθώς οι διαχειριστές αποσύνδεαν υπηρεσίες ενόσω προετοίμαζαν ενημερώσεις. Η Ολλανδία έκλεισε την υπηρεσία ψηφιακής ταυτότητάς της, ενώ το Εθνικό Κέντρο Κυβερνοασφάλειας της χώρας έθεσε εκτός λειτουργίας και τον δικό του ιστότοπο.

Ο κρατικός πάροχος πληροφορικής της Φινλανδίας, Valtori, αποσύνδεσε τις δημόσιες κυβερνητικές διαδικτυακές υπηρεσίες, ενώ το υπουργείο Εσωτερικών της Γαλλίας έθεσε προσωρινά εκτός λειτουργίας τους ιστότοπους των νομαρχιών. Ο ομοσπονδιακός πάροχος πληροφορικής της Γερμανίας, ITZBund, απενεργοποίησε επίσης αρκετούς ιστότοπους.

Η Διεύθυνση Σημάτων της Αυστραλίας ανέφερε ότι ο ιστότοπος cyber.gov.au ήταν ανάμεσα στους κυβερνητικούς ιστότοπους που επηρεάστηκαν από το ζήτημα της PHP. Η πρωθυπουργός της Ιαπωνίας, Sanae Takaichi, προέτρεψε τους διαχειριστές να προετοιμαστούν για την ταχεία εγκατάσταση διορθώσεων και δήλωσε ότι η προσωρινή αναστολή λειτουργιών ιστοτόπων θα μπορούσε να μειώσει τον κίνδυνο όταν δεν ήταν δυνατή η άμεση εγκατάσταση ενημερώσεων.

Το Ίδρυμα Wikimedia έθεσε επίσης εκτός λειτουργίας υποστηρικτικές υπηρεσίες, μεταξύ των οποίων τις Toolforge και Cloud VPS, επηρεάζοντας ορισμένες λειτουργίες της Wikipedia την Τετάρτη.

Οι εταιρείες κρυπτονομισμάτων αξιολογούν την πιθανή έκθεσή τους

Η εταιρεία ασφάλειας blockchain SlowMist ανέφερε ότι η υπηρεσία MistEye εντόπισε άμεσα αποτυπώματα PHP σε 793 από τους 1.488 τομείς του κλάδου των κρυπτονομισμάτων που αξιολογήθηκαν. Κάλεσε ανταλλακτήρια, πλατφόρμες DeFi και παρόχους πορτοφολιών να εξετάσουν την έκθεσή τους και να αναβαθμίσουν τα συστήματά τους. Τα ευρήματα εντόπισαν τη χρήση της PHP, χωρίς να επιβεβαιώνουν ότι οι συγκεκριμένοι τομείς ήταν ευάλωτοι.

Η Intersect, ο οργανισμός μελών που υποστηρίζει την ανάπτυξη και τη διακυβέρνηση του Cardano, έκλεισε προσωρινά τον Χώρο Μελών της, ενώ αξιολογούσε την πιθανή έκθεση.

Ο διευθυντής ασφαλείας της Coinbase, Jeff Lunglhofer, δήλωσε ότι η εταιρεία δεν εντόπισε στοιχεία για εκτεθειμένες εγκαταστάσεις PHP και ότι έλεγχε επίσης τους τρίτους προμηθευτές της. Η BitGo δήλωσε ξεχωριστά ότι η πλατφόρμα της δεν είχε επηρεαστεί.

Η κατάσταση των exploit διαφέρει από τον αποδεδειγμένο κίνδυνο

Παρά τον αποδεδειγμένο κίνδυνο απομακρυσμένης εκτέλεσης κώδικα, η ομάδα ασφαλείας της PHP δήλωσε ότι, κατά τον χρόνο της δημόσιας γνωστοποίησης, δεν είχε εντοπίσει λειτουργικά exploit.

Η OpenAI δημοσίευσε μέσω GitHub μια δεξιότητα Codex για να βοηθήσει τους διαχειριστές να ελέγξουν για δυνητικά ευάλωτες εκδόσεις PHP και να εντοπίσουν τις κατάλληλες ενημερώσεις.

Συμπέρασμα

Οι επείγουσες διορθώσεις αντιμετωπίζουν τις άμεσες ευπάθειες, ενώ η παραδοχή του ιδρύματος αναδεικνύει τις αστοχίες της διαδικασίας που καθυστέρησαν την αντιμετώπισή τους. Οι διακοπές λειτουργίας που αναφέρθηκαν ήταν προληπτικά μέτρα και όχι ένδειξη ότι οι επηρεαζόμενοι οργανισμοί είχαν παραβιαστεί.

Διαβάστε περισσότερα νέα

Περισσότερα νέα από το FinanceVelix

Αποποίηση ευθύνης

Αυτό το άρθρο του FinanceVelix παρέχει γενικές πληροφορίες και όχι εξατομικευμένες χρηματοοικονομικές, επενδυτικές, νομικές ή φορολογικές συμβουλές. Οι τιμές της αγοράς, τα επιτόκια και οι οικονομικές συνθήκες μπορούν να μεταβληθούν· οι επενδύσεις ενέχουν κίνδυνο απώλειας. Τα γεγονότα αντικατοπτρίζουν τις πληροφορίες που ήταν διαθέσιμες κατά τη δημοσίευση και ενδέχεται να αλλάξουν. Επαληθεύετε ανεξάρτητα τις σημαντικές πληροφορίες και συμβουλεύεστε έναν εξειδικευμένο επαγγελματία όταν χρειάζεται. Η αναφορά σε κάποιο περιουσιακό στοιχείο, εταιρεία ή υπηρεσία δεν συνιστά σύσταση ή έγκριση.