「盗んでみろ」PHP脆弱性に懸賞金、海外で「詐欺CVE」論争
姉妹サイトの新着
海外の技術系掲示板4chanの/g/(Technology)板に、「stealmybitcoin.com」という挑戦サイトを巡るスレが立った。Wiz ResearchとOpenAIのCodex Security部門が発見したというPHPの脆弱性を実際に使ってビットコインを盗めたら懸賞金を渡すという内容で、賞金は当初の2000ドルから500ドルまで下がったが、挑戦者は誰も成功していない。スレでは「そもそも盗めるものなど存在しない、大げさなCVE詐欺(ごっこ)だ」と疑う声と、「PHP自体に脆弱性があるのは事実で、実演が難しいだけ」と擁護する声が対立し、Hacker Newsへの飛び火やDDoS疑惑まで飛び出した。
ハッカーの皆、俺たちのLARP(ごっこ遊び)がバレたかもしれない。でも本当のサイバーセキュリティの知恵は、この道中で出会った仲間たちだったんだな
出典: stealmybitcoin.com / 元記事はこちら
存在しないものをどうやって盗むんだよ
俺もアクセスしてみたけど、>>2の言う通り何もなかった
ウォレットのアドレスを教えてくれれば、まだ残ってるか確認できるのに
サイトに書いてあるぞ。このアドレスを指してる→ bc1qlnu50y4zm0nwxkckxu09thn5xdcz8aw6t3cxqy
盗んでほしいって言ってるなら、それは盗みじゃないだろ
「2000ドルでPHPの実戦投入可能なNデイ・エクスプロイトを売ってくれ」だって?いや、それは遠慮しとくよ
「php2shellで使える攻撃の実演を見せてくれ」って言われても無理。本当に価値のあるものがあるという証拠がそもそも無い
「マジで本物だから!インフルエンサーを信じてくれ!」ってな
このリンク先が、この件全体で一番まともな意見だわ
これをやった人に感謝する!
サイバーセキュリティ業界の詐欺師を暴いてくれた
OpenAI、Cloudflare、AWSの説明によれば、攻撃にPHPスクリプトの「リクエスト解析」は必要ないらしい。論点をすり替えるな、セキュリティ詐欺師ども
「PHPがindex.htmlをsendfile()で返すだけなら攻撃できないってどういうことだよ!」「うわ、完全に詐欺CVEじゃん!」
…本気で頭がおかしくなってる
でもそれは正しい。任意サイズのmultipartアップロードを許可するだけで済んだ話で、それでも実際に攻撃できるわけではないけど、CVEが指摘している処理経路は全部通ることになる
発見・報告した本人たちの言葉を引用すると
「脆弱なコードはPHP自体にある。アプリ側のコードが安全でも影響を受ける。対象バージョンのPHPで動く単純な『Hello World』アプリでも該当する」
OpenAI、Cloudflare、AWSによれば、このサーバーはハッキングできるらしい。特別なPHPスクリプトが実行されている必要はなく、脆弱性はPHP自体にあるとのこと
「index.htmlは静的ファイル」「PHPが動いてさえいればいい」
www 脳みそスムージーかよ
「PHPの組み込みウェブサーバーから配信されてる」
???
この脆弱性自体が詐欺だから、誰も成功しないよ
php2shell.comによれば、これは確かに脆弱性があるらしい。それが約束されていたことだ。もしハッキングできないなら、それは詐欺だったということ
つまり実際のPHPのdiffを見れば、セキュリティ業界の連中は全員嘘をついてたってことか?
「や、やめてくれ、それ以上考えないで!」「詐欺だってバラさないでくれよ!」
他サイトの新着
最初はCVSS 10.0と言われてたのに後で9.2に下げられた。しかも特定の脆弱なPHPスクリプトは不要だと念を押して説明されてたはずだ。CVSSのスコアを付けた人たちが嘘をついてるというなら、俺に言うんじゃなくて彼らに言えよ
あいつらはDDoSを仕掛けてる。詐欺だとバレたくないからだ
この手のCVEは実質何もないようなものなのに、いちいち突っかかるのもどうかと思う。たとえ『何でも好きにやっていい、全部有効でセキュリティもゼロ』状態を用意されたとしても、誰も成功を主張できないだろうさ
「正しいこと言うのやめてくれ、俺がバカみたいに見えてくる :(」
www
「『作者』って誰のこと?」
もう発見者が誰だったか忘れたふりしてるのか?
『調査・責任ある開示: Wiz Research — Sagi Tzadik、Shir Tamari、Nir Ohfeld、Tomer Schwartz / OpenAI Codex Security — Amy Burnett / Calif — Ryan A.』とクレジットされてるだろ。
もう一度言うが、この脆弱性でハッキングを成立させるにはサーバー側に何を用意する必要があるのか、具体的に言ってみろ。何が必要なんだ?言ってみろよ!
「2000ドル」だって?今はもう500ドルになってるぞ
違う、ウォレットはまだ奪われてない。それに『全部が攻撃可能』と主張してるなら、どのmodが一番攻撃しやすいかなんて関係ない。>>52も見ておけ
「一番都合がいい」って、確率0.00000001%の話だろ。>>49を見ろ。
そもそもOOM(メモリ不足)例外をどうやって強制的に発生させるんだ?この攻撃を成立させるには必須の条件で、mod_phpに使える仮想メモリ(物理メモリとスワップ全部)を使い切らせて例外を起こす方法を知ってなきゃいけない。POSTリクエスト一発でOOM例外を強制する方法を教えてくれよ
この話題の背景と論点
この騒動の背景には、PHP本体に見つかった脆弱性がWiz ResearchとOpenAIのCodex Security部門によって共同で発見・報告されたという事実がある。CVSSスコアが当初10.0と伝えられ、後に9.2へ下げられたとスレ内で指摘されており、深刻度評価の揺れが「大げさなCVEだ」という不信感を招いた一因と見られる。論点が割れたのは、「特定の脆弱なPHPスクリプトは不要」という説明を、一部が「何もしなくても攻撃できる」と誤読した点だ。実際にはOOM(メモリ枯渇)例外を人為的に起こす必要があるなど、攻撃成立には特殊な条件が要求されており、懸賞金サイトで誰も成功しなかったことは、脆弱性の有無そのものを否定する証拠にはならない。賞金が2000ドルから500ドルへ下がった経緯は本文からは分からず、スレ内でも憶測の域を出ていない。
※本記事は海外掲示板 4chan /g/ (Technology) のスレッド「Hacker bros maybe our larp got exposed and the real cybersecurity knowledge is the friends we made along the way」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
まだコメントはありません。