Pubblicare gli exploit PoC dopo la produzione di una patch, è corretto?

Autore: Massimiliano Brolli

Data Pubblicazione: 05/05/2021

Questa domanda da sempre ha fatto appassionare i ricercatori di sicurezza informatica e gli esperti del settore che spesso si trovano in forte disaccordo se sia corretto o meno, pubblicare una exploit PoC (proof of concept) subito dopo la produzione della patch di sicurezza, o peggio ancora quando di fatto è uno zero-day.


In modo più sottile si tratta di un tema molto simile all'argomento se sia corretto o meno svolgere la full-disclosure di un bug di sicurezza, oppure fornire solo la versione e la tipologia di bug, per evitare successivi sfruttamenti.



Ma sulla scia degli exploit di sicurezza zero-day di Microsoft Exchange ProxyLogon e F5 BIG-IP divulgati all'inizio di quest'anno, la discussione si è riaccesa anche perché, molti exploit PoC sono stati eliminati da GitHub il 9 di marzo, subito dopo la loro pubblicazione, creando grosse critiche da parte della community hacker.


Sicuramente gli aspetti sono molti e i numeri in gioco importanti.


Ad esempio, attraverso il bug di Microsoft Exchange ProxyLogon (che ha permesso l'accesso come amministratore ai server windows), il cybercrime ha colpito inizialmente più di 100.000 macchine in tutto il mondo, di cui 30.000 negli Stati Uniti.


Ma come sappiamo una volta che una cosa è pubblica su internet, anche se la rimuovi subito, di fatto è persa per sempre. Questo anche vista l'attenzione da parte del crimine informatico e dei ricercatori, ossessionati nel trovare per primi una PoC funzionante, per poter mietere il successivo "raccolto".


</