Le 28 octobre, Jay Gazlay, responsable par intérim de la gestion des vulnérabilités à la CISA, a critiqué la décision de Chainguard de publier des correctifs PHP avant la date de divulgation coordonnée prévue. Selon la PHP Foundation, les correctifs étaient sortis le 21 octobre avec plus de six heures d’avance. Gazlay a jugé cette décision dangereuse pour la coordination des correctifs.
Pourquoi publier les correctifs en avance a suscité des critiques
La divulgation coordonnée consiste à transmettre des informations sur une vulnérabilité à des entreprises de sécurité sélectionnées avant l’annonce publique. Elles peuvent ainsi préparer des correctifs pour les publier au même moment. La PHP Foundation a averti qu’un correctif dévoilé en avance peut être étudié alors que d’autres utilisateurs attendent encore de pouvoir mettre à jour leurs systèmes.
Cette controverse porte sur le calendrier de publication, après la parution des versions corrigées détaillée dans notre article sur les correctifs PHP.
Chainguard a défendu sa décision par la voix de son PDG, Dan Lorenc. Il a invoqué des informations déjà en circulation, la capacité de l’entreprise à découvrir la vulnérabilité et à élaborer un exploit, ainsi que des signes d’activité malveillante. La PHP Foundation a indiqué que son équipe n’avait pas identifié d’exploit fonctionnel au moment de la divulgation publique. Elle avait aussi signalé que des informations sur les failles avaient circulé deux jours avant la date prévue.
Les indices d’exploitation ne mesurent pas la même chose
AWS aurait repéré des tentatives d’exploitation dès le 17 octobre, avant la date prévue de divulgation. Des tentatives ne signifient pas que les attaques ont réussi. De son côté, Gazlay a déclaré que des analystes de la CISA avaient produit une preuve de concept fonctionnelle dans l’infrastructure interne de l’agence, après plusieurs jours d’analyse avec des modèles. Cette preuve de concept décrivait un exploit fonctionnel dans cet environnement interne.
Des chercheurs ont confirmé l’existence d’un exploit fonctionnel plusieurs jours après la divulgation publique. Puis, le 26 octobre, CISA a inscrit la vulnérabilité dans son catalogue Known Exploited Vulnerabilities (KEV), consacré aux vulnérabilités connues comme exploitées. Une entrée au catalogue ne précise pas, à elle seule, si l’exploitation est facile ni si les attaques réussies sont généralisées.
Joe Slowik, de Dataminr, estimait que les éléments publics ne justifiaient pas la publication anticipée et que l’exploitation n’avait pas atteint une grande échelle au moment de ses propos. Il s’opposait toutefois à exclure Chainguard de futurs échanges de divulgation coordonnée. Ramy Rahman, d’ArmorCode, a lui aussi appelé à trouver un équilibre et à préserver la collaboration entre les acteurs de la sécurité.
