Gestione delle vulnerabilità critiche di sicurezza R. Brunetti, L. Gaido Commissione Calcolo e Reti, Roma 5-7 ottobre 2010
Il punto di partenza Recentemente si è verificato un caso emblematico – CVE (bug del kernel linux nel layer di compat bit -> local root escalation) Pare noto da circa 2 anni Patch resa disponibile il giorno 14 settembre su git.kernel.org Reso pubblico il giorno 15 settembre su Fulldisclosure assieme ad un exploit perfettamente funzionante Avviso di sicurezza emesso dal gruppo EGI-CSIRT il giorno 16 settembre a tutti i siti dell’infrastruttura grid EGI
– RedHat: ha preso in carico il problema (Bug ) il giorno 16 settembre – CERN: ha patchato la sua distribuzione (SLC) poche ore dopo e ha cominciato ad upgradare le macchine – Eygene Ryabinkin del Russian Research Centre "Kurchatov Institute”: ha portato la patch su CentOS poche ore dopo (17 settembre) e su SL il giorno dopo (18 settembre) e le ha rese disponibili alla comunità grid Cos’è successo dopo
– Patch non ufficiali per SLC,SL e CentOS disponibili – Patch ufficiali per Fedora,Debian,Ubuntu disponibili – Nessuna patch ufficiale era ancora disponibile per RH,CentOS,SL (le patch ufficiali arriveranno solo il 21 settembre, 7 giorni dopo la pubblicazione dell’exploit) A tre giorni dalla pubblicazione dell’exploit…
In generale vale la pena chiedersi.. A prescindere dalla “sollecitudine” dei vendor… – Il problema ha avuto molta risonanza nell’ambiente Grid, ma quanta ne ha avuta al di fuori? – La disponibilità di patch ufficiali o non ufficiali è stata largamente pubblicizzata nell’ambiente Grid, ma quanto se ne è saputo al di fuori?
Chi può beneficiare… Altrove qualche “guru/kernel-hacker” ha anticipato i vendor producendo la sua patch, testandola e distribuendola a vantaggio di chi gli dava fiducia Linux ed i suoi problemi non riguardano solo le risorse grid ma anche i servizi calcolo e gli esperimenti
Possibili soluzioni (proposte) a livello informativo: – sinergia tra lo CSIRT di IGI ed il GARR-CERT per usare i canali di comunicazione esistenti (lista degli APM): le informazioni disponibili nella comunità grid saranno inviate in modo capillare a tutti importante anche il viceversa a livello reattivo/proattivo: − identificare 2/3 persone che siano i “guru/kernel- hackers” della situazione per: aiutare a valutare la gravità di alcune vulnerabilità aiutare a produrre le patcha e/o testarle quando i vendor latitano
Cosa facciamo?
Disponibilità verificate (estorte ): Giacinto Donvito Vincenzo Spinoso Luca Carbone …… Coordinamento: serve? (sotto) gruppo security?