Penambalan yang buruk menciptakan penggunaan kembali kerentanan zero-day yang mudah – Keamanan
Technology

Penambalan yang buruk menciptakan penggunaan kembali kerentanan zero-day yang mudah – Keamanan

Penambalan yang buruk menciptakan penggunaan kembali kerentanan zero-day yang mudah


Maddie Stone, Google Project Zero

Twitter

Peneliti keamanan Project Zero elit Google kembali memperingatkan bahwa penambalan kerentanan yang tidak memadai berarti pelaku ancaman dapat memvariasikan metodologi mereka, dan menggunakan kembali bug perangkat lunak.

Maddie Stone dari Project Zero memposting laporan setengah tahun tentang kerentanan zero-day yang dieksploitasi tanpa patch yang tersedia untuk tahun 2022.

Organisasi tersebut menemukan bahwa dalam banyak kasus, perbaikan hanya merusak bukti konsep, tanpa mengatasi akar penyebab cacat tersebut.

Dari 18 zero-days yang terdeteksi dan diungkapkan sepanjang tahun ini, sembilan dapat dicegah dengan uji patching dan regresi yang lebih komprehensif, kata Stone.

Empat dari zero-days yang ditemukan pada tahun 2022 hanyalah varian dari bug yang ditemukan pada tahun 2021, dengan penyerang dapat mengambil jalur yang berbeda dan kembali untuk mengeksploitasinya hanya 12 bulan setelah patching.

Zero-days Project Zero melihat dieksploitasi di alam liar mempengaruhi Microsoft Windows, Apple iOS, browser web open-source Chromium yang merupakan dasar untuk Chrome, mesin rendering konten web WebKit, Atlassian’s Confluence dan smartphone Pixel Google.

Dalam kasus WebKit (bagian dari browser Safari Apple), bug yang dieksploitasi pertama kali diperbaiki pada 2013, tetapi patch mengalami regresi pada 2016.

Kerentanan korupsi memori “Zombie” yang dapat dipicu melalui konten web berkode jahat ditambal lagi oleh Apple pada Februari tahun ini.

Dalam beberapa kasus, kerentanan digunakan oleh rezim represif yang menargetkan para pembangkang, jurnalis dan aktivis hak asasi manusia, dan aktor ancaman negara-bangsa dari Korea Utara yang mengeksploitasi ratusan korban di Amerika Serikat.

Stone mengatakan regresi patch bukanlah hal baru, dan Project Zero menemukan pola yang sama pada tahun 2020.

Dia menyarankan tim keamanan dan peneliti melakukan analisis akar penyebab untuk memahami bagaimana kerentanan mungkin telah dimasukkan ke dalam kode, dan untuk menyelidiki kelemahan yang mirip dengan bug yang dilaporkan.

Posted By : pengeluaran hk hari ini 2021