// болтология: смешные [+ не очень] истории вокруг php2shell; felt cute, might delete later 0️⃣ Таймлайн Казалось бы: критическая уязвимость, затрагивающая множество-множество сервисов (хоть и не весь интернет, это да, и даже оценки в 70% даны скорее для красоты➕CVSS 9.2, а не 10.0➕сложная эксплуатация, высокий порог) – и что мы видим из таймлайна? Вендор получил отчёты ещё в августе, рассмотрел их к концу сентября и не публиковал патч до конца октября 👄 Также с одной стороны здорово, что о проблеме было сообщено заранее, чтобы максимальное число разработчиков успело обратить внимание, с другой – это, конечно, создало суету и подначило ресёрчеров и преступников готовить тулкиты и потенциальные списки целей; ➕Бонус на подумать: некоторые проекты получили от PHP доступ к патчу раньше остальных [и, благодаря этому, одни из получивших, Chainguard, выложили сборки с патчем до официальной публикации патча, что позволило начать разработку эксплойта раньше времени]; 1️⃣ Проблемы авторства➕гонки компаний Лавры разделили между собой Calif, Wiz и OpenAI; Calif и Wiz опубликовали разные таймлайны, из которых следует, что: ▪️Calif (а конкретнее 1 конкретный ресёрчер – Ryan Austin, @lcfr_hax) работал над репортами 01-21 августа; В частности первый хеш от репорта датирован 5 августа; ▪️Wiz работали над репортами 19-24 августа, открыто заявив об использовании ИИ (интересно, имеет ли эта история сходства с историей про уравнения Навье-Стокса и OpenAI, когда ИИ обнаружил решение одновременно с математиками, которые использовали этот ИИ, но это я так..); Возникает [вроде резонный] вопрос: Calif понятно, но при чём тут Wiz? при чём тут вообще OpenAI?? ▪️OpenAI пригласили Calif поучаствовать в инициативе "Patch the Planet" – дали Daybreak, чтоб ресёрчеры занялись AI-driven ресёрчами – ладно; ▪️Wiz же стали коллабораторами – тоже ладно; но они опубликовали свою статью вперёд Calif➕на пару минут раньше, чем официальные Github advisories от PHP➕захостили подкаст с обсуждением и (!!) преподнесли php2shell, как что-то, что было найдено ИИ – у них даже в названии "AI uncovers critical RCE vulnerabilities affecting 70% of the Internet", а "AI uncovers" != "uncovered with the help of AI" И, конечно, Wiz купили красивый домен: php2shell.com Уязвимость также прозвали phpbleed (потому что "Heartbleed-style memory disclosure") – тут смешно: твиттерские успели купить phpbleed.com, пока Wiz не сообразил 2️⃣ Гонки за PoC'ом Как сказала выше, суета подначила ресёрчеров и преступников. Тут две стороны медали: некачественные PoC'и➕качественные PoC'и С некачественными ясно: произошло наводнение из ИИ слопа➕проектов, содержащих малварь, и среди этого мусора крайне сложно стало разобраться, в чём вообще суть и что из этого на самом деле галлюцинации / намеренные спекуляции ради классов – и из-за того, что доступ к агентам теперь есть у многих, проблема серьёзно набирает обороты С качественными немного обидно: тем, кто приближался к импакту (особенно до патча) [или делился слитым видео-демо, где девочка танцует], открыто желали всего самого плохого➕обвиняли в "нарушении эмбарго", заявляя, что они наводят панику и подвергают риску сервисы, которые ещё не получили возможность обновиться. В этом есть своя правда, но, боюсь, преступники не соблюдают эмбарго, а без ресёрча мы точно не сможем защитить себя сами, пока вендоры тянут в угоду маркетинга и подобного 🤷‍♀️ 3️⃣ Отключение сайтов Понравилось, что [после объявления от PHP] некоторые сайты (включая: гос. ресурсы Нидерландов и Финляндии, BreachForums, 4chan, ...) положили в ожидании патча – довольно редкая практика, но она имеет место быть, почему нет, если есть такая возможность // но, впрочем, всё как всегда, к сожалению // морали не будет

// болтология: смешные [+ не очень] истории вокруг php2shell; felt cute, might delete later 0️⃣ Таймлайн Казалось бы: критическая уязвимость, затрагивающая множество-множество сервисов (хоть и не весь интернет, это да, и даже оценки в 70% даны скорее для красоты➕CVSS 9.2, а не 10.0➕сложная эксплуатация, высокий порог) – и что мы видим из таймлайна? Вендор получил отчёты ещё в августе, рассмотрел их к концу сентября и не публиковал патч до конца октября 👄 Также с одной стороны здорово, что о проблеме было сообщено заранее, чтобы максимальное число разработчиков успело обратить внимание, с другой – это, конечно, создало суету и подначило ресёрчеров и преступников готовить тулкиты и потенциальные списки целей; ➕Бонус на подумать: некоторые проекты получили от PHP доступ к патчу раньше остальных; 1️⃣ Проблемы авторства➕гонки компаний Лавры разделили между собой Calif, Wiz и OpenAI; Calif и Wiz опубликовали разные таймлайны, из которых следует, что: ▪️Calif (а конкретнее 1 конкретный ресёрчер – Ryan Austin, @lcfr_hax) работал над репортами 01-21 августа; В частности первый хеш от репорта датирован 5 августа; ▪️Wiz работали над репортами 19-24 августа, открыто заявив об использовании ИИ; Возникает [вроде резонный] вопрос: Calif понятно, но при чём тут Wiz? при чём тут вообще OpenAI?? ▪️OpenAI пригласили Calif поучаствовать в инициативе "Patch the Planet" – дали Daybreak, чтоб ресёрчеры занялись AI-driven ресёрчами – ладно; ▪️Wiz же стали коллабораторами – тоже ладно; но они опубликовали свою статью вперёд Calif➕на пару минут раньше, чем официальные Github advisories от PHP➕захостили подкаст с обсуждением и (!!) преподнесли php2shell, как что-то, что было найдено ИИ – у них даже в названии "AI uncovers critical RCE vulnerabilities affecting 70% of the Internet", а "AI uncovers" != "uncovered with the help of AI" И, конечно, Wiz купили красивый домен: php2shell.com Уязвимость также прозвали phpbleed (потому что "Heartbleed-style memory disclosure") – тут смешно: твиттерские успели купить phpbleed.com, пока Wiz не сообразил 2️⃣ Гонки за PoC'ом Как сказала выше, суета подначила ресёрчеров и преступников. Тут две стороны медали: некачественные PoC'и➕качественные PoC'и С некачественными ясно: произошло наводнение из ИИ слопа➕проектов, содержащих малварь, и среди этого мусора крайне сложно стало разобраться, в чём вообще суть и что из этого на самом деле галлюцинации / намеренные спекуляции ради классов – и из-за того, что доступ к агентам теперь есть у многих, проблема серьёзно набирает обороты С качественными немного обидно: тем, кто приближался к импакту (особенно до патча) [или делился слитым видео-демо, где девочка танцует], открыто желали всего самого плохого➕обвиняли в "нарушении эмбарго", заявляя, что они наводят панику и подвергают риску сервисы, которые ещё не получили возможность обновиться. В этом есть своя правда, но, боюсь, преступники не соблюдают эмбарго, а без ресёрча мы точно не сможем защитить себя сами, пока вендоры тянут в угоду маркетинга и подобного 🤷‍♀️ 3️⃣ Отключение сайтов Понравилось, что [после объявления от PHP] некоторые сайты (включая: гос. ресурсы Нидерландов и Финляндии, BreachForums, 4chan, ...) положили – довольно редкая практика, но она имеет место быть, почему нет, если есть такая возможность // но, впрочем, всё как всегда, к сожалению