A PHP Foundation elismerte, hogy a döntéshozatali problémák és a korlátozott erőforrások késleltették a PHP egy, először 2024-ben észlelt hibáját érintő biztonsági javítását. Miután szerdán kiadták a két kapcsolódó, kritikus sebezhetőségre vonatkozó sürgősségi javításokat, kormányzati szervek és más szervezetek elővigyázatosságból elérhetetlenné tették webhelyeiket.
Főbb tudnivalók
- Az alapítvány a késedelmes reagálást strukturális kudarcnak nevezte, amely a biztonsági folyamatot és az erőforrásokat érintette.
- A sebezhetőségek lehetővé tehetik a hitelesítés nélküli támadók számára, hogy kódot futtassanak az érintett szervereken.
- A kriptovállalatok felmérték, hogy érintettek-e, a Coinbase és a BitGo pedig arról számolt be, hogy rendszereik nem voltak érintettek.
Tartalomjegyzék
- A PHP biztonsági javítása kompatibilitási és létszámproblémák miatt elakadt
- Az elővigyázatossági leállások közszolgáltatásokra is kiterjedtek
- A kriptovállalatok felmérik a lehetséges érintettséget
- A kihasználás állapota nem azonos a bizonyított kockázattal
- Összegzés
A PHP biztonsági javítása kompatibilitási és létszámproblémák miatt elakadt
Az alapítvány beszámolója arra irányítja a figyelmet, hogyan maradt hónapokig megoldatlan egy ismert technikai probléma. A fejlesztők 2024-ben azonosították a sebezhetőség jeleit, de nehezen találtak olyan megoldást, amely nem zavarta volna meg a PHP-re épülő kiterjedt szoftveres ökoszisztémát. A PHP-t széles körben használják webhelyek és webalkalmazások készítéséhez.
Abban a szakaszban a fejlesztők még nem találtak módot távoli kódfuttatásra. Az alapítvány szerint a PHP-motorhoz szükséges ismeretekkel rendelkező kis létszámú csapat tagjainak más feladataik is voltak, ezért a javításon végzett munka újra és újra leállt, majd folytatódott.
A késedelmet „strukturális kudarcnak” nevezte, amelyet egyaránt okozott a biztonsági csapat döntéshozatali folyamata és az elégtelen erőforrás.
A probléma azután vált kiemelt biztonsági prioritássá, hogy a Calif biztonsági vállalat és az OpenAI egymástól függetlenül jelentette ugyanazt az alapvető problémát augusztus 11-én. A Calif bemutatta a feltétel nélküli távoli kódfuttatás lehetőségét.
Az elővigyázatossági leállások közszolgáltatásokra is kiterjedtek
A sürgősségi kiadások több országban is fennakadásokat okoztak, miközben az üzemeltetők a frissítések előkészítése idejére leválasztották szolgáltatásaikat. Hollandia leállította digitális személyazonosító szolgáltatását, a Nemzeti Kiberbiztonsági Központja pedig saját webhelyét is elérhetetlenné tette.
Finnország állami informatikai szolgáltatója, a Valtori leválasztotta a kormányzati, nyilvános webszolgáltatásokat, Franciaország belügyminisztériuma pedig ideiglenesen leállította a prefektúrák webhelyeit. A német szövetségi informatikai szolgáltató, az ITZBund szintén letiltott több webhelyet.
Ausztrália Signals Directorate nevű hírszerző és biztonsági szervezete közölte, hogy a cyber.gov.au is az érintett kormányzati webhelyek között volt. Sanae Takaichi japán miniszterelnök arra kérte az üzemeltetőket, hogy készüljenek fel a gyors javításra, és azt mondta, hogy a webhelyfunkciók ideiglenes felfüggesztése csökkentheti a kockázatot, ha az azonnali frissítés nem lehetséges.
A Wikimedia Foundation szintén elérhetetlenné tett támogató szolgáltatásokat, köztük a Toolforge-ot és a Cloud VPS-t, ami szerdán a Wikipédia egyes funkcióit is érintette.
A kriptovállalatok felmérik a lehetséges érintettséget
A SlowMist blokkláncbiztonsági vállalat közölte, hogy MistEye szolgáltatása a vizsgált 1488, kriptoiparhoz tartozó domain közül 793 esetében közvetlen PHP-ujjlenyomatot talált. Arra kérte a tőzsdéket, a DeFi-platformokat és a tárcaszolgáltatókat, hogy vizsgálják felül érintettségüket és frissítsenek. Az eredmények a PHP használatát azonosították, nem pedig azt igazolták, hogy ezek a domainek sebezhetők.
Az Intersect, a Cardano fejlesztését és irányítását támogató tagsági szervezet, a lehetséges érintettség felmérése közben ideiglenesen bezárta a tagok számára fenntartott területét.
Jeff Lunglhofer, a Coinbase biztonsági igazgatója közölte, hogy a vállalat nem talált bizonyítékot nyilvánosan elérhető PHP-példányokra, és harmadik fél beszállítóival is egyeztetett. A BitGo külön azt közölte, hogy platformját nem érintette a probléma.
A kihasználás állapota nem azonos a bizonyított kockázattal
A bizonyított távoli kódfuttatási kockázat ellenére a PHP biztonsági csapata közölte, hogy a nyilvános közzététel időpontjáig nem azonosított működő exploitot.
Az OpenAI a GitHubon közzétett egy Codex-skillt, amely segít az üzemeltetőknek ellenőrizni, hogy PHP-verzióik potenciálisan sebezhetők-e, és azonosítani az alkalmazható frissítéseket.
Összegzés
A sürgősségi javítások az azonnali sebezhetőségeket kezelik, az alapítvány beismerése pedig rávilágít a késedelmet okozó folyamatbeli hiányosságokra. A jelentett leállások elővigyázatossági intézkedések voltak, és nem bizonyítják, hogy az érintett szervezeteket feltörték.
További hírek
Jogi nyilatkozat
Ez a FinanceVelix-cikk általános tájékoztatást nyújt, nem minősül személyre szabott pénzügyi, befektetési, jogi vagy adótanácsadásnak. A piaci árak, a kamatlábak és a gazdasági körülmények változhatnak; a befektetések veszteség kockázatával járnak. A tények a közzététel időpontjában rendelkezésre álló információkat tükrözik, és változhatnak. A fontos információkat ellenőrizze önállóan, és szükség esetén forduljon képzett szakemberhez. Egy eszköz, vállalat vagy szolgáltatás említése nem jelent ajánlást.
