Exploitarium: Anonymer Forscher leakt massenweise Zero-Day-Exploits
Ein anonymer Sicherheitsforscher, der auf Github unter dem Namen Bikini auftritt, publiziert seit einigen Tagen laufend neue Zero-Day-Exploits für verschiedene, teils sehr populäre Softwareprodukte. Das zugehörige Repository trägt den Namen Exploitarium(öffnet im neuen Fenster). Bikinis erklärtes Ziel ist es, "Menschen für die Schwachstellenforschung zu begeistern". Dies sei seiner Erfahrung nach "der effizienteste Weg", das zu erreichen.
Bisher werden im Exploitarium 26 Zero-Day-Exploits gelistet. Zu den betroffenen Tools zählen unter anderem 7-Zip, Anydesk, Curl, Docker, FFmpeg, Firefox, Flowise, Gitea, Imagemagick, Libssh2, Next.js, Nmap, OpenVPN, Rustdesk und der VLC-Player. Details zu den einzelnen Lücken werden jeweils in einer Readme-Datei beschrieben.
Die ersten Sicherheitslücken wurden bereits zum 23. Juni in das Exploitarium-Repository aufgenommen. Danach wurden mehrfach neue Funde ergänzt. Die jüngsten Exploits sind vom heutigen Tag, dem 1. Juli. Dass noch weitere Einträge folgen werden, ist im Hinblick auf die jüngsten Aktivitäten anzunehmen. Bikini gibt an, die Lücken teils mithilfe von KI aufgespürt zu haben.
CVEs zu verschenken
Dass es bereits Patches für alle im Exploitarium aufgelisteten Sicherheitslücken gibt, darf bezweifelt werden. Bikini gibt an, selbst keine der Lücken an die jeweiligen Softwareanbieter gemeldet zu haben. "Ihr könnt sie gerne selbst melden und die Anerkennung für die CVE einheimsen, falls eine vergeben wird – nur zum Spaß", so der Forscher.
Jedoch bittet er auch darum, den Exploit-Code nicht missbräuchlich zu verwenden. "Verwenden Sie unter keinen Umständen Material aus diesem Repository in böswilliger Absicht. Es handelt sich hierbei um eine in gutem Glauben durchgeführte, offen kommunizierte Schwachstellenforschung, die darauf abzielt, mehr Menschen für diesen Bereich der Cybersicherheit zu begeistern", heißt es auf Github.
Exploit-Leaks häufen sich
In den vergangenen Monaten scheint sich bezüglich der Offenlegung von Sicherheitslücken ein gefährlicher Trend abzuzeichnen. Softwareanbieter sind durch die dank KI zuletzt extrem gestiegene Anzahl an Bug-Reports zunehmend überfordert. Forscher erhalten dadurch seltener Bug-Bounty-Prämien sowie die erhoffte Anerkennung und entscheiden sich immer häufiger dafür, ihre Funde einfach zu veröffentlichen, ohne dass die jeweiligen Lücken zuvor gepatcht wurden.
Für eine solche Vorgehensweise bekannt ist beispielsweise der Sicherheitsforscher Chaotic Eclipse. Dieser leakte aufgrund von Streitigkeiten mit Microsoft erstmals im April einen gefährlichen Zero-Day-Exploit namens Bluehammer. Danach veröffentlichte er noch eine ganze Reihe weiterer Exploits und setzte Microsoft damit wiederholt unter Druck. Für Anwender birgt das aber enorme Risiken, da der Aufwand für Angreifer, erfolgreiche Cyberangriffe auszuführen, durch publizierte Zero-Day-Exploits erheblich sinkt.
- Anzeige Hier geht es zu Künstliche Intelligenz: Wissensverarbeitung bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.