Claude pronašao gotovo 500 sigurnosnih propusta u 25 open source projekata, jedan je stariji od 21 godinu

Anthropic je pregledao 25 velikih open source projekata pisanih u jezicima C, C++, Java, PHP i Python. Pronašao je gotovo 500 sigurnosnih problema, među njima zaštitne mehanizme koje je poništio sukob u postavkama, kod dostupan prije autentifikacije i propust star 21 godinu.

Ovaj put Anthropic nije tražio pojedinačne ranjivosti. Taj pristup opisuju kao "sizifov posao", jer se slabo skalira i ne jamči sigurnost. Cilj je bio smanjiti površinu napada i ukloniti nepotreban pristup kodu koji bi napadači mogli iskoristiti.

Projekti imaju više od 5 milijuna linija koda. Claude je sastavio popis od više od 17.000 konfiguracijskih parametara, a 3842 od njih utječu na sigurnost.

Tri scenarija i rezultati

Istraživanje je obuhvatilo tri slučaja u kojima je pristup dijelovima koda neopravdan. To su funkcije koje su po defaultu uključene, a nisu potrebne za rad, kombinacije postavki koje zajedno slabe zaštitu te pretjerano složen kod koji se izvršava prije sigurnosnih provjera.

Svih 11 projekata namijenjenih radu s autoriziranim korisnicima sadržavalo je kod kojem se moglo pristupiti, iako to nije trebalo biti moguće. Pronađeno je:

• 93 površine napada dostupne prije autentifikacije u zadanim konfiguracijama
• 37 slučajeva izvršavanja koda prije prolaska autentifikacije
• 61 kombinacija postavki koja slabi zaštitu prije autentifikacije

U svih 25 projekata pronađene su i 162 kombinacije postavki za koje dokumentacija ne opisuje očekivano ponašanje. Negdje je to isključivalo zaštitu, a drugdje uzrokovalo nekonzistentnosti i greške.

Jedan propust u konfiguraciji ostao je neprimijećen više od dva desetljeća. Jedna postavka tražila je od korisnika potvrdu identiteta certifikatima, a druga je tu provjeru potpuno isključivala, iako ju je trebala samo privremeno odgoditi.

Primjer: OpenSSH

U OpenSSH-u, programu za sigurni udaljeni pristup, daemon je mogao pristupiti 4500 linija eksperimentalnog koda prije nego što bi se provjerilo dopušta li konfiguracija servera takvu operaciju. Riječ je o implementaciji postkvantnog algoritma digitalnog potpisa. Sam algoritam bio je po defaultu isključen, ali je kod za obradu njegovih podataka bio dostupan neautoriziranim klijentima.

Nakon Anthropicove prijave razvojni tim OpenSSH-a ispravio je problem u verziji 10.6. Oko 20 posto koda više nije dostupno neautoriziranim korisnicima.

Alat za OSS-Scanner

Metode iz istraživanja Anthropicovi su inženjeri spojili u poseban alat za Claude. Uskoro bi ga trebali integrirati u OSS-Scanner, besplatni servis za provjeru sigurnosti open source projekata. Alat analizira zadane konfiguracije, dijelove koda dostupne prije sigurnosnih provjera i postavke koje su međusobno u sukobu.

Pronađene ranjivosti sustav će provjeravati dinamičkim praćenjem izvršavanja programa i usporedbom s trenutnim ponašanjem sustava. Razvojne timove obavijestit će o promjenama koje bi mogle narušiti rad softwarea.