Jay Gazlay, waarnemend adjunct-directeur voor kwetsbaarheidsbeheer bij CISA, bekritiseerde op 28 oktober tijdens een Red Hat-conferentie in Washington de vroege publicatie van PHP-patches door Chainguard. Volgens de PHP Foundation verschenen die patches op 21 oktober ruim zes uur vóór de geplande gecoördineerde bekendmaking van de kwetsbaarheid.
Waarom de timing kritiek opleverde
Bij gecoördineerde bekendmaking krijgen geselecteerde beveiligingsbedrijven vooraf informatie over een kwetsbaarheid. Zo kunnen ze patches voorbereiden voor het moment waarop de kwetsbaarheid openbaar wordt. De PHP Foundation waarschuwde dat aanvallers de patch al konden bestuderen terwijl andere PHP-gebruikers nog op de release wachtten. De Foundation zei ook dat er in de twee dagen vóór de geplande bekendmaking informatie over de kwetsbaarheid was uitgelekt.
De PHP-patches zelf kwamen eerder aan bod in ons bericht over de PHP-beveiligingsupdates van 21 oktober. In deze discussie draait het vooral om het tijdstip waarop de fixes openbaar werden.
Wat de verschillende misbruiksignalen zeggen
AWS-onderzoek meldde pogingen tot misbruik vanaf 17 oktober. De PHP Foundation zei dat haar beveiligingsteam bij de publieke bekendmaking geen werkend exploit had vastgesteld. Die twee uitspraken gaan over verschillende zaken: pogingen zijn niet hetzelfde als een werkend exploit.
Gazlay zei dat CISA-analisten na meerdere dagen analyse met modellen binnen de eigen infrastructuur een werkende proof of concept hadden gemaakt. Een proof of concept is een demonstratie dat een aanvalsmethode werkt. Enkele dagen na de publieke bekendmaking bevestigden onderzoekers een werkend exploit. Op 26 oktober voegde CISA de kwetsbaarheid toe aan de Known Exploited Vulnerabilities-catalogus (KEV), de lijst met bekende misbruikte kwetsbaarheden.
Betekent die KEV-vermelding dat misbruik eenvoudig was of dat succesvolle aanvallen wijdverbreid waren? Nee. De vermelding zegt op zichzelf niets over hoe makkelijk een aanval is of hoe vaak die slaagde. Joe Slowik van Dataminr zei dat hij geen openbaar bewijs had gezien dat Chainguards vroege publicatie rechtvaardigde. Volgens Slowik was de kwetsbaarheid op grote schaal misbruikt toen hij zijn beoordeling gaf.
Waarom Chainguard de patches eerder uitbracht
CEO Dan Lorenc verdedigde de beslissing van Chainguard. Hij verwees naar informatie die al circuleerde, het vermogen van het bedrijf om de kwetsbaarheid zelfstandig te vinden en een exploit te bouwen, en aanwijzingen voor kwaadwillige activiteit. Dat was Lorencs argument voor de vervroegde publicatie.
Tegelijk zei Lorenc dat de criteria voor gecoördineerde bekendmaking duidelijker moeten worden. Slowik zag de beslissing als een beoordelingsfout waar de sector van kon leren, maar vond niet dat Chainguard daarom van toekomstig overleg moest worden uitgesloten. Ramy Rahman van ArmorCode pleitte voor evenwicht en samenwerking bij het openbaar maken van kwetsbaarheden.
