Ich schätze responsible disclosure wird langfristig an Bedeutung verlieren. Das Vorgehen des Unbekannten hier ist auch nichts neues sondern als
Full Disclosure bekannt. Allein die Menge der Lücken macht es zu einer Meldung.
Responsible Disclosure war auch schon vor LLMs nicht unumstritten, einige Experten vertreten die Meinung dass das dazu führt dass der Anbieter/Entwickler/Hersteller sehr viel langsamer reagiert und Sicherheitslücken dadurch oft viele Monate länger bestehen bleiben als sie müssten.
Full Disclosure zu machen ist auch nicht verwerflich. Schließlich kriegt jeder gleichzeitig Zugriff auf die Information dass ein Problem existiert, auch betroffene Betreiber der Dienste. Böse wäre es die Lücke zu verheimlichen, nur in geschlossenen Foren/Discords/etc. zu verbreiten oder gar auf Marktplätzen zu verkaufen. Aber nach den Mitteilungswünschen des Entwicklers zu tanzen dazu ist keiner verpflichtet. Nett wäre es nur wenn man Workarounds um sich zu schützen (z.B. Konfigurationsänderungen) oder auch einen Patch gleich mit dazu veröffentlicht.
Beim Linux Kernel werden mit KI gefundene Sicherheitslücken auch sofort als öffentlich bekannt angesehen und entsprechend hält man Details/Patches nicht unter Embargo. Der Grund ist dass wenn einer die Lücke mit KI finden konnte, dann können andere das auch. Außerdem behalten einige KI-Anbieter auch die Chatlogs und werten diese aus. Wie viele Mitarbeiter da mitlesen und so von der Lücke erfahren weiß niemand.
Es nützt auch nichts nur eine Beschreibung der Lücke ohne Exploit zu veröffentlichen. Jede Beschreibung die präzise genug ist um den Fehler im Code zu beheben (oder gleich ein Patch der das tut) liefert 99% der Informationen die man braucht um die Lücke zu exploiten. Ein Exploit PoC kann dann sowieso jeder in Sekunden bis Minuten mit einem LLM generieren.
Außerdem sieht es so aus als ob der Unbekannte die Lücken zwar mit KI findet, die Ergebnisse aber von Hand auf GitHub pushed. Mutmaßlich findet da also schon noch eine Bewertung des Schweregrades statt. Vom schnellen Durchschauen würde ich auch sagen dass viele der Bugs nicht kritisch sind, oder sehr begrenzt in der Anwendbarkeit. Die richtige Apokalypse bleibt erstmal aus.
R4ID schrieb:
Auf solche Meldungen von einem "anonymen Sicherheitsforscher" ist wieviel verlass ?
Hä? Auf was muss man sich da verlassen? Der veröffentlicht direkt den Exploit Code für die Sicherheitslücken. Du kannst jetzt sofort die Scripte von ihm benutzen um entsprechende Dienste anzugreifen. Das ist ja genau der Aufhänger, dass er die Bugs eben an niemanden vorher meldet, sondern direkt Exploits veröffentlicht.
Da ich täglich auch Heise konsumiere war das schon registriert.
