PHP新脆弱性「悪用は難しい」に異論続出、実証動画の美少女アニメも話題に
姉妹サイトの新着
Hacker Newsで、ブログ記事「このPHP脆弱性には簡単な攻撃コードは存在しない」をめぐって議論が起きた。記事は公開から時間が経っても動くエクスプロイトが出回っていないことを根拠に深刻度を疑問視したが、コメント欄では「技術は一度誰かが確立すれば誰でも使い回せる」「20年分のPHPバージョンに影響するなら時間の問題」といった反論が相次いだ。さらに実証動画にアニメの女の子が使われていた点や、情報公開タイミング(エンバーゴ)を巡る別の論争も話題になり、Log4ShellやHeartbleedとの比較を交えた長い議論に発展した。
このPHP脆弱性には、簡単に使える攻撃コードは存在しない
出典: eliastaylor.com / 元記事はこちら
・結局言えるのは、人間(というか今のやり方)は『この修正がどれだけ緊急か』を見積もるのが苦手だということだと思う。
> 理由は: […]
> 3. 実証動画にアニメの女の子が出てくるから
笑った、これ見逃してた。ちょっと探す必要があったから、みんなのために貼っておく:
(via https://calif.io/php2shell/#php-5-4-0-rce)アニメ女の子レベルの激甚セキュリティ事件くらいなら全然心配してないけど、『笑い男』レベルの事件が来たら本当にパニックになる。
気になってる人のために、この曲はこれ: https://soundcloud.com/marlonhoffstadt/highforever
違うのは、PHPには脆弱性の長い歴史があるのに対し、Javaのようなプラットフォームにはそれがないという点。Log4Shellがどれだけひどかったとはいえ、あれはコアランタイムの問題ではなかったし、当時最も使われていたロギングフレームワークの問題でもなかった。今回はそう軽く見ない方がいい。
それは違うと思う。log4shellは『どこが脆弱でどこがそうじゃないか』を特定して直すのが地獄だった。PHPのアップグレードの方がずっと楽だ。
> 当時最も使われていたロギングフレームワークの問題でもなかった
全体で一番使われていたかはわからないけど、Log4Shellは多くのフォーチュン500企業にとって悪夢だったよ。
関連するLiveOverflowの動画(偽のエクスプロイトが出回っている件について):
それはそれとして、元記事はほぼ的外れ。これは間違いなく悪用可能で、みんなプラットフォームとABIを決め打ちしてネット全体にばら撒いてくる。特にmod_phpを狙って。
証明書の件は数時間で失効させたから被害が抑えられていて、みんなが気づいた頃にはもう解決済みだった。もちろん証明書ストアを固定していて更新できない『クソIoT』機器の長い尾は残っているけど、そういう機器はもうAIにあらゆる方向からボロボロにされている。
時代についていけよ、今は『LLMキディ』って呼ぶんだ。
むしろ、この脆弱性が22年間知られていて放置されていたという主張自体が、筆者の論点を補強してる。つまり実際に使うのはそう簡単じゃないってことだ。
詳細が公開される前に出回っていた、動くPoCへのリンクって何かある? 情報が錯綜していてどう考えればいいのかわからない。パッチが出る何時間も前に自分のサーバーで攻撃を試されたという人がいる一方で、実際に乗っ取られたという報告は見当たらない(みんなログを読み間違えてるだけ?)。
アニメ女の子が出てくるなら、それは本当にマジなやつってことだ。
それと、High Foreverの曲普通にいい。
踊ってるあのアニメの子、UI時雨(しぐれ)だよ。
> なぜ『ここ数年で最悪の脆弱性』と言われているのか?
ちなみに今日発表されたニュースとして、OpenAIのソフトウェア脆弱性対応の新イニシアチブもある。
どんな会社も結局マーケティング業をやってるものだから、それって意味のない区別だよ。
その通り、メモリ安全性のバグだった。
他サイトの新着
時間は論点の一部でしかなくて、それが全てじゃない。重要なのは、これが20年分のPHPバージョンに影響するという事実だ。悪用に何ヶ月かかったとしても、メンテナンスされていない古いサイトへの侵害は、長い尾を引いて続くことになる。
それはそうだけど、情報公開のタイミング(エンバーゴ)を巡る論争とはあまり関係ない話だよね。
元記事もこの返信の流れも、そもそもエンバーゴの話はしてないと思うけど?
でもGitHubに動くPoCが無いからといって、どこにも存在しなくて実際に悪用もされていないとは言えない。悪意ある側からすれば、PoCを公開するほど攻略できる台数が減るから、わざわざ共有しないはず。
自分を狙う相手が非公開のエクスプロイトを持っている可能性は絶対に否定できないけど、ネット中に動くエクスプロイトがすでに出回っていない状況なら、その可能性は大きく下がる。
AIがある今なら、どこを見ればいいか教えるだけで数時間しかかからないと考えた方が安全だと思う。
当時自分の勤め先はlog4jを直接使っていなかったけど、それでも十分に脆弱だった。使っていたオープンソースパッケージの色々なものが、間接的にlog4jに依存していたから。
『簡単じゃなかった』のは過去の話で、今はずっと簡単になってる。
そもそもエンバーゴを巡る論争があったからこの記事が書かれたわけで、それが今みんながこの件を話している理由そのものだよ。
へえ、自分はこれが『ウェブ上の半分のサーバーに対して、ほぼ無条件のRCEを許す巨大なセキュリティ侵害』だから話題になってるんだと思ってた。
この話題の背景と論点
HeartbleedとLog4Shellは、スレで繰り返し比較に出てくる過去の大規模インシデントで、前者は2014年にOpenSSLで見つかったバッファオーバーリード系の脆弱性、後者は2021年にApache Log4jで見つかったRCEで、ともに広範なサーバーに影響した。スレで意見が割れたのは「攻撃の難易度」と「深刻度」の関係で、記事側は動くPoCが出回っていないことを根拠に懸念を和らげようとしたが、反論側は攻撃者が一度エクスプロイトを確立すれば誰でも使い回せる点と、脆弱性が20年分のPHPバージョンに影響する点を重視した。終盤で触れられる「エンバーゴ」とは、研究者が脆弱性の詳細をいつ公開するかを巡る業界内の対立を指し、記事が書かれた本来の背景にあたる。実証動画にアニメキャラクターが使われていた話は本筋ではなく、セキュリティ告知の見せ方を巡る脱線として読むとよい。
※本記事は海外掲示板 Hacker News のスレッド「There isn’t an easy exploit for this PHP vulnerability」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
まだコメントはありません。