[论文解读] The Sound of Silence: Mining Security Vulnerabilities from Secret Integration Channels in Open-Source Projects

Ralf Ramsauer, Lukas Bulwahn+2 more|arXiv (Cornell University)|Sep 3, 2020

Security and Verification in Computing参考文献 33被引用 16

一句话总结

本文提出一种数据挖掘方法，通过将公开的开发工件映射到代码仓库提交记录，检测开源项目（尤其是Linux内核）中通过秘密、非公开渠道集成的安全漏洞修复。该方法识别出12个此前未披露的漏洞，其漏洞利用开发的提前期达2至179天，揭示关键修复常绕过公开审查，违背负责任披露原则。

ABSTRACT

Public development processes are a key characteristic of open source projects. However, fixes for vulnerabilities are usually discussed privately among a small group of trusted maintainers, and integrated without prior public involvement. This is supposed to prevent early disclosure, and cope with embargo and non-disclosure agreement (NDA) rules. While regular development activities leave publicly available traces, fixes for vulnerabilities that bypass the standard process do not. We present a data-mining based approach to detect code fragments that arise from such infringements of the standard process. By systematically mapping public development artefacts to source code repositories, we can exclude regular process activities, and infer irregularities that stem from non-public integration channels. For the Linux kernel, the most crucial component of many systems, we apply our method to a period of seven months before the release of Linux 5.4. We find 29 commits that address 12 vulnerabilities. For these vulnerabilities, our approach provides a temporal advantage of 2 to 179 days to design exploits before public disclosure takes place, and fixes are rolled out. Established responsible disclosure approaches in open development processes are supposed to limit premature visibility of security vulnerabilities. However, our approach shows that, instead, they open additional possibilities to uncover such changes that thwart the very premise. We conclude by discussing implications and partial countermeasures.

研究动机与目标

• 识别开源项目中绕过公开开发流程的安全漏洞修复。
• 研究秘密集成渠道（尤其在Linux内核开发中）如何使关键补丁在无公开讨论的情况下被合并。
• 揭示非公开补丁集成所造成的风险，此类行为破坏了负责任披露的透明性与安全保证。
• 提供一种早期检测此类隐藏修复的方法，以实现主动防御或监控。

提出的方法

• 使用链接分析技术，系统性地将公开的开发工件（如邮件列表补丁）与版本控制仓库中的提交记录进行映射。
• 应用半自动方法检测缺乏公开预集成工件的提交，以识别秘密集成。
• 利用时间分析识别在公开披露前出现的提交，表明其为非公开处理。
• 利用现有的CVE和提交元数据验证并关联发现结果与已知漏洞。
• 对Linux内核在5.4版本发布前七个月的时间窗口进行案例研究。
• 通过直接联系维护者确认，其证实存在未经审查、未在邮件列表发布的补丁。

实验结果

研究问题

• RQ1 如何利用公开可用的开发工件检测开源项目中绕过公开讨论的提交？
• RQ2 Linux内核开发流程中秘密集成渠道的普遍性和性质如何？
• RQ3 安全修复的非公开集成在多大程度上缩短了攻击者的利用窗口？
• RQ4 负责任披露实践为何反而使非公开补丁集成的检测成为可能？
• RQ5 系统性挖掘开发工件能否在公开披露前揭示隐藏漏洞？

主要发现

• 该方法在七个月的时间内检测到29个提交，修复了12个不同的Linux内核安全漏洞。
• 这些漏洞的修复时间比公开披露早2至179天，使攻击者在漏洞利用开发方面获得显著的时间优势。
• 维护者确认，平均每名作者每半年有超过40个未经审查的补丁被集成，表明公开审查被系统性绕过。
• 大量安全修复在未事先于公开邮件列表讨论的情况下被集成，与开放开发模式的核心原则相悖。
• 本研究揭示，负责任披露实践可能被攻击者利用，通过公开工件挖掘技术检测非公开补丁集成。
• 研究结果暴露了开源安全中的一个关键漏洞：即使存在负责任披露机制，秘密渠道仍可导致早期漏洞被发现。