DI aptiko 948 „Linux“ branduolio privilegijų pakėlimo spragas: ką tai reiškia įmonėms?

Kas buvo padaryta?

„OpenAI“ aprašė prototipą, skirtą „Linux“ branduolio kodo saugumo tyrimui. Procesas dirbo su aktualia tuo metu branduolio kūrimo versija ir įprastą apsaugą turinčiomis virtualiomis mašinomis. Iš pradžių agentai atrinko saugumui svarbias kodo vietas, o kiti agentai ieškojo galimų klaidų. Toliau sistema mėgino kiekvieną radinį atkurti izoliuotoje aplinkoje, įvertinti jo poveikį ir parengti pataisos variantą. Galutinius radinius ir pataisas peržiūrėjo žmonės prieš teikiant branduolio prižiūrėtojams. „OpenAI“ tyrimo aprašymas.

Ką reiškia skaičius 948 — ir ko jis nereiškia?

Pradinėje analizėje gauti 2 308 kandidatiniai radiniai. Iš jų 1 724 sistema sugebėjo atkurti laboratorinėmis sąlygomis. Poveikio vertinimo etape agentai sukūrė 1 169 veikiančius vietinio privilegijų pakėlimo bandymus; atlikus variantų analizę, „OpenAI“ išskyrė 948 unikalius LPE atvejus ir parengė jiems pataisų variantus. Papildomai aprašyta 291 informacijos nutekėjimo koncepcija. Skaičiai nusako skirtingus tyrimo etapus, todėl jų nederėtų suplakti į vieną „948 serveriai nulaužti“ teiginį.

LPE yra vietinis privilegijų pakėlimas: grėsmės veikėjas, jau turintis galimybę vykdyti kodą įrenginyje su ribotomis teisėmis, gali bandyti įgyti aukštesnes, pavyzdžiui, administratoriaus ar „root“, teises. Vien šis tyrimas nereiškia nuotolinio prisijungimo prie bet kurio „Linux“ serverio iš interneto. Grėsmės kelias paprastai prasideda kitu būdu įgytu vietiniu ar konteinerio prieigos tašku.

Radinių atsakingas atskleidimas jau vyksta

„OpenAI“ teigia, kad radiniai ir pataisų pasiūlymai teikiami „Linux“ branduolio prižiūrėtojams kartu su partneriais. Iki viešo tyrimo užbaigimo dalis problemų jau buvo pataisyta, daliai buvo ruošiamos tarpinės pataisos, o kitos buvo viešai aptariamos. Vadinasi, paskelbtas skaičius nėra sąrašas, kurį administratorius galėtų tiesiogiai sutikrinti su viena CVE lentele. Pataisų būsena kinta, o „Linux“ distribucijos pataisas integruoja į savo branduolio paketus skirtingu grafiku. Todėl svarbu sekti naudojamos distribucijos saugumo pranešimus, o ne vien pagrindinio branduolio numerį. „OpenAI“ nurodo, kad tyrimo metu 61 LPE buvo pataisyta upstream, 43 turėjo rengiamas pataisas, o 299 radiniai buvo viešai aptariami.

Pačiame tyrime taip pat išryškėjo, kodėl žmogaus patikra lieka būtina. Ankstyvoje bandymo versijoje dalis agentų omenyje turėtas spragas išnaudojo per kitą, nesusijusią branduolio klaidą. „OpenAI“ rašo, kad procesą papildė nepriklausomu patikrinimu, jog įrodymas iš tikrųjų naudoja priskirtą pažeidžiamumą. Tai svarbi pamoka: veikiantis demonstracinis rezultatas dar neįrodo, kad teisingai nustatyta jo priežastis, o automatiškai sugeneruota pataisa dar nėra paruošta diegti be peržiūros.

Ką turėtų padaryti įmonių administratoriai?

1. Patikrinkite inventorių. Įtraukite fizinius ir virtualius „Linux“ serverius, debesijos VM, konteinerių pagrindinius kompiuterius, hipervizorius bei tinklo ar saugumo įrenginius, kuriuose veikia „Linux“.
2. Atnaujinkite pagal distribucijos tiekėją. Taikykite „Ubuntu“, „Debian“, „Red Hat“, „SUSE“, „Oracle Linux“ ar kito tiekėjo saugumo pataisas ir patikrinkite, ar po branduolio atnaujinimo įvyko reikalingas perkrovimas. Vien tai, kad naujas paketas įdiegtas, nebūtinai reiškia, kad šiuo metu veikia naujas branduolys.
3. Mažinkite vietinės prieigos riziką. Pašalinkite nenaudojamas paskyras, naudokite individualius prisijungimus ir MFA ten, kur ji palaikoma, apribokite administravimo teises, o automatizavimo raktus saugokite ir periodiškai keiskite.
4. Izoliuokite darbo krūvius. Konteineriai nėra tas pats, kas atskiras branduolys: jei keli konteineriai dalijasi pagrindinio kompiuterio branduoliu, jo saugumo būklė svarbi visiems. Naudokite mažiausių teisių principą, profilius, „seccomp“ ar distribucijos palaikomas izoliavimo priemones.
5. Stebėkite ir turėkite atkūrimo planą. Rinkite autentifikavimo ir administravimo žurnalus, stebėkite neįprastą privilegijų naudojimą, testuokite atsarginių kopijų atkūrimą ir apibrėžkite atsakingą už pataisų diegimo terminus.

DI keičia saugumo darbų tempą, ne atsakomybę

Didžiausia naujiena — ne vien 948 skaičius. Tyrimas rodo, kad DI agentai gali sujungti kelis etapus: rasti įtartiną kodą, pabandyti klaidą pakartoti, įvertinti jos poveikį ir parengti galimą pataisą. Toks mastas padeda apsaugos tyrėjams, bet didina spaudimą projektų prižiūrėtojams bei įmonėms, kurios diegia pataisas. Be inventorizacijos, atnaujinimų procesų ir atsakingo atskleidimo, greitesnis klaidų aptikimas savaime nepadaro sistemų saugesnių.

„OpenAI“ nurodyta 1,21 mln. JAV dolerių API kreditų suma apibūdina šio eksperimento skaičiavimus ir pasirinktą darbo eigą. Bendrovė pažymi, kad tai nėra optimizuota galutinė kaina ir jog geresnė inžinerinė aplinka galėtų išlaidas sumažinti. Tai nėra mokestis, kurį reikia mokėti už kiekvieną auditą ar vieno pažeidžiamumo patikrą.