Gestione delle vulnerabilità critiche di sicurezza R. Brunetti, L. Gaido Commissione Calcolo e Reti, Roma 5-7 ottobre 2010.

Presentazione sul tema: "Gestione delle vulnerabilità critiche di sicurezza R. Brunetti, L. Gaido Commissione Calcolo e Reti, Roma 5-7 ottobre 2010."— Transcript della presentazione:

1 Gestione delle vulnerabilità critiche di sicurezza R. Brunetti, L. Gaido Commissione Calcolo e Reti, Roma 5-7 ottobre 2010

2 Il punto di partenza Recentemente si è verificato un caso emblematico – CVE-2010-3081 (bug del kernel linux nel layer di compat. 64-32 bit -> local root escalation) Pare noto da circa 2 anni  Patch resa disponibile il giorno 14 settembre su git.kernel.org Reso pubblico il giorno 15 settembre su Fulldisclosure assieme ad un exploit perfettamente funzionante Avviso di sicurezza emesso dal gruppo EGI-CSIRT il giorno 16 settembre a tutti i siti dell’infrastruttura grid EGI

3 – RedHat: ha preso in carico il problema (Bug 634457) il giorno 16 settembre – CERN: ha patchato la sua distribuzione (SLC) poche ore dopo e ha cominciato ad upgradare le macchine – Eygene Ryabinkin del Russian Research Centre "Kurchatov Institute”: ha portato la patch su CentOS poche ore dopo (17 settembre) e su SL il giorno dopo (18 settembre) e le ha rese disponibili alla comunità grid Cos’è successo dopo

4 – Patch non ufficiali per SLC,SL e CentOS disponibili – Patch ufficiali per Fedora,Debian,Ubuntu disponibili – Nessuna patch ufficiale era ancora disponibile per RH,CentOS,SL (le patch ufficiali arriveranno solo il 21 settembre, 7 giorni dopo la pubblicazione dell’exploit) A tre giorni dalla pubblicazione dell’exploit…

5 In generale vale la pena chiedersi.. A prescindere dalla “sollecitudine” dei vendor… – Il problema ha avuto molta risonanza nell’ambiente Grid, ma quanta ne ha avuta al di fuori? – La disponibilità di patch ufficiali o non ufficiali è stata largamente pubblicizzata nell’ambiente Grid, ma quanto se ne è saputo al di fuori?

6 Chi può beneficiare… Altrove qualche “guru/kernel-hacker” ha anticipato i vendor producendo la sua patch, testandola e distribuendola a vantaggio di chi gli dava fiducia  Linux ed i suoi problemi non riguardano solo le risorse grid ma anche i servizi calcolo e gli esperimenti

7 Possibili soluzioni (proposte) a livello informativo: – sinergia tra lo CSIRT di IGI ed il GARR-CERT per usare i canali di comunicazione esistenti (lista degli APM): le informazioni disponibili nella comunità grid saranno inviate in modo capillare a tutti  importante anche il viceversa a livello reattivo/proattivo: − identificare 2/3 persone che siano i “guru/kernel- hackers” della situazione per: aiutare a valutare la gravità di alcune vulnerabilità aiutare a produrre le patcha e/o testarle quando i vendor latitano

8 Cosa facciamo?

9 Disponibilità verificate (estorte ): Giacinto Donvito Vincenzo Spinoso Luca Carbone …… Coordinamento: serve? (sotto) gruppo security?