Progetto per automatizzare la creazione di Exploit

Per chi si occupa di sicurezza è noto che al rilascio delle Security Patch corrisponde il rilascio di exploit generati con un processo di reverse engineering.  La Security Patch viene così sfruttata per ottenere informazioni sulla vulnerabilità; queste stesse informazioni sono utilizzate per generare del codice maligno - alias exploit -, che la sfrutta. Dal momento in cui viene rilasciata pubblicamente la security patch - es. Windows Update, Microsoft Update - inzia la corsa contro il tempo, fra chi deve applicarla e chi la sfrutta per generare l'exploit per attaccare le macchine non protette. Il processo di reverse engineering genera codice sorgente sulla base del contenuto binario dell'eseguibile. Infatti tutte le software house vietano espressamente questa pratica.

La domanda che si sono posti alcuni ricercatori - David Brumley, Pongsin Poosankam, Dawn Song, and Jiang Zheng - della Carnagie Mellon University è se fosse possibile automatizzare il processo di generazione degli Exploit sulla base delle security Patch rilasciate.

La risposta è affermativa!

Con alcune eccezioni, il progetto ha dimostrato che, dal rilascio della security patch, dopo una manciata di minuti, è già disponibile l'exploit che sfrutta la vulnerbilità.

Di seguito l'abstract dell'articolo:

Abstract
The automatic patch-based exploit generation problem is: given a program P and a patched version of the program P', automatically generate an exploit for the potentially unknown vulnerability present in P but fixed in P'. In this paper, we propose techniques for automatic patch-based exploit generation, and show that our techniques can automatically generate exploits for vulnerable programs based upon patches provided via Windows Update.

In many cases we are able to automatically generate exploits within minutes or less. Although our techniques may not work in all cases, a fundamental tenet of security is to conservatively estimate the capabilities of attackers. Thus, our results indicate that automatic patch-based exploit generation should be considered practical. One important security implication of our results is that current patch distribution schemes which stagger patch distribution over long time periods, such as Windows Update, may allow attackers who receive the patch first to compromise the significant fraction of vulnerable hosts who have not yet received the patch. Thus, we conclude update schemes, such as Windows Update as currently implemented, can detract from overall security, and should be redesigned.

What does this mean?
Attackers can simply wait for a patch to be released, use these techniques, and with reasonable chance, produce a working exploit within seconds. Coupled with a worm, all vulnerable hosts could be compromised before most are even aware a patch is available, let alone download it. Thus, Microsoft should redesign Windows Update. We propose solutions which prevent several possible schemes, some of which could be done with existing technology.

Download del documento in PDF

Questo deve essere da stimolo ad adottare soluzioni di patch management efficaci ed efficienti, specialmente per ciò che riguarda i servizi resi su Internet. Da questo punto di vista ISA Server operando su più livelli - Multilayer Inspection Firewall - ha modo di limitare l'effetto degli exploit sui server pubblicati.

Nella settimana della sicurezza in rete Microsoft rende disponibile gratuitamente un Security Checkup del proprio sistema informativo (sotto i 25 PC).

Se volete fare da soli potete utilizzare anche l'utilissimo strumento (gratuito) Microsoft Security Assessment Tool.