[論文レビュー] The Sound of Silence: Mining Security Vulnerabilities from Secret Integration Channels in Open-Source Projects

Ralf Ramsauer, Lukas Bulwahn+2 more|arXiv (Cornell University)|Sep 3, 2020

Security and Verification in Computing参考文献 33被引用数 16

ひとこと要約

本論文は、公開開発アーティファクトをリポジトリのコミットにマッピングすることで、特にLinuxカーネルにおいて、非公開のチャネルを通じて統合されたセキュリティ脆弱性の修正をデータマイニング的手法で検出する。この手法により、攻撃者がエクスロイト開発のための2〜179日分の時間的優位性を獲得できる12件の以前未知の脆弱性が特定された。これは、重要な修正がしばしば公開レビューを回避しており、責任ある公開の原則を損なっていることを示している。

ABSTRACT

Public development processes are a key characteristic of open source projects. However, fixes for vulnerabilities are usually discussed privately among a small group of trusted maintainers, and integrated without prior public involvement. This is supposed to prevent early disclosure, and cope with embargo and non-disclosure agreement (NDA) rules. While regular development activities leave publicly available traces, fixes for vulnerabilities that bypass the standard process do not. We present a data-mining based approach to detect code fragments that arise from such infringements of the standard process. By systematically mapping public development artefacts to source code repositories, we can exclude regular process activities, and infer irregularities that stem from non-public integration channels. For the Linux kernel, the most crucial component of many systems, we apply our method to a period of seven months before the release of Linux 5.4. We find 29 commits that address 12 vulnerabilities. For these vulnerabilities, our approach provides a temporal advantage of 2 to 179 days to design exploits before public disclosure takes place, and fixes are rolled out. Established responsible disclosure approaches in open development processes are supposed to limit premature visibility of security vulnerabilities. However, our approach shows that, instead, they open additional possibilities to uncover such changes that thwart the very premise. We conclude by discussing implications and partial countermeasures.

研究の動機と目的

• オープンソースプロジェクトにおける、公開開発プロセスを回避するセキュリティ脆弱性の修正を特定すること。
• 特にLinuxカーネル開発における非公開統合チャネルが、公開議論なしに重要なパッチをマージすることを可能にする仕組みを調査すること。
• 非公開パッチ統合が、責任ある公開の透明性とセキュリティ保証を損なうリスクを明らかにすること。
• このような隠れた修正を早期に検出するための手法を提供することにより、事前の防御や監視を可能にすること。

提案手法

• リンク解析技術を用いて、公開開発アーティファクト（例：メーリングリストのパッチ）をバージョン制御リポジトリのコミットに体系的にマッピングする。
• 公開前段階のアーティファクトが欠落しているコミットを検出するための準自動的手法を適用し、非公開統合を特定する。
• 時間的分析を用いて、公開発表より前に出現するコミットを特定し、非公開処理を示唆する。
• 既存のCVEおよびコミットメタデータを活用して、同定結果を既知の脆弱性と照合・検証する。
• Linux 5.4リリースの7か月前までの期間を対象に、Linuxカーネルにおける事例研究を実施する。
• メンテナーや開発者に直接連絡し、非公開で配布されたがレビューが行われなかったパッチの存在を確認する。

実験結果

リサーチクエスチョン

• RQ1 公開可能な開発アーティファクトを用いて、オープンソースプロジェクトで公開議論を回避するコミットをどのように検出できるか？
• RQ2 Linuxカーネル開発プロセスにおける非公開統合チャネルの頻度と性質は何か？
• RQ3 セキュリティ修正の非公開統合が、攻撃者の攻撃機会の窓をどの程度短縮するか？
• RQ4 責任ある公開の実践が、非公開パッチ統合の検出を間接的に可能にするメカニズムは何か？
• RQ5 開発アーティファクトの体系的マイニングにより、公開発表より前に隠れた脆弱性を特定できるか？

主な発見

• 7か月の期間にわたり、Linuxカーネルにおいて12件の異なるセキュリティ脆弱性を修正する29件のコミットが検出された。
• これらの脆弱性は、公開発表の2〜179日前に修正されており、攻撃者がエクスロイト開発のための顕著な時間的優位性を獲得できる。
• メンテナーより、1人の作者あたり半年に40件以上のレビューが行われないパッチが統合されていることが確認され、公開レビューの回避が制度的に進行していることが示された。
• 多くのセキュリティ修正が、公開メーリングリストでの議論なしに統合されており、オープン開発モデルの根幹的原則に反する。
• 本研究では、責任ある公開の実践が、攻撃者が公開アーティファクトマイニングを用いて非公開パッチ統合を検出可能にすることで、逆に利用されうることを明らかにした。
• 研究結果は、責任ある公開があるとしても、非公開チャネルが存在することで、開発段階での脆弱性の早期検知が可能になるという、オープンソースセキュリティにおける深刻なギャップを暴露した。