CERT-FI:ltä yhteenveto bugikuukausista

19.4.2007 13:19 Viestintäviraston CERT-FI-ryhmä on julkaissut yhteenvedon haavoittuvuuksien etsintään keskittyvistä projekteista ja niiden tuloksista.

CERT-FI on julkaissut sivuillaan yhteenvedon neljästä bugihankkeesta. Kahdesta hankkeesta on taulukot, joista käyvät ilmi haavoittuvuuksien lukumäärä, vakavien haavoittuvuuksien määrä ja CVSS-uhkaluokitus.

Ensimmäistä bugijahtia, selainhaavoittuvuuksiin keskittynyttä Month of Browser Bugsia, vietettiin heinäkuussa 2006. Haavoittuvuuksia julkaistiin yhteensä 31.

Month of Kernel Bugs keskittyi käyttöjärjestelmien ydinkomponenteista (kernel) ja niihin liittyvistä laiteajureista löytyviin haavoittuvuuksiin marraskuussa 2006. MoKB julkaisi yhteensä 30 haavoittuvuutta.

Vuoden 2007 tammikuu oli Month of Apple Bugs. Se keskittyi Applen tuotteista tai Applen tuotteissa käytettävistä kolmansien osapuolien ohjelmistoista löytyviin haavoittuvuuksiin. MoAB julkaisi yhteensä 30 haavoittuvuutta, joista 20 oli etäkäyttöisesti hyväksikäytettäviä eli niiden käyttäminen ei edellyttänyt fyysistä yhteyttä järjestelmään.

CERT-FI:n mukaan 22 MoAB-haavoittuvuuteen on virallinen korjaus. MoAB-haavoittuvuuksien hyväksikäyttö on jäänyt vähäiseksi.

Maaliskuussa 2007 oli vuorossa php-ohjelmointikielen haavoittuvuuksia etsivä Month of PHP Bugs. MoPB julkaisi yhteensä 44 haavoittuvuutta, joista kolme oli ohjelmointikielen ulkopuolisissa, mutta siihen liittyvissä komponenteissa. MoPB-haavoittuvuuksista 16 saattaa olla etäkäyttöisesti hyväksikäytettäviä. Viiteen haavoittuvuuteen ei ole vahvistettua korjausta. Uusimpia php-versioita koskevia vakavina pidettäviä haavoittuvuuksia on kaksi.

Bugijahdit ovat pitäneet yllä vuosia kestänyttä vilkasta keskustelua siitä, pitäisikö kaikki uudet ja korjaamattomat haavoittuvuudet julkaista vai tulisiko niistä ilmoittaa ensin vain valmistajille.

Jutun kirjoitti: Antti Kirves