דלת אחורית בתוכנת קוד פתוח כמעט הוחמצה וגרמה לאסון דיגיטלי חמור

תגלית אחרונה בתחום הסייבר עוררה באחרונה גלי הדף בתעשיית הטכנולוגיה ובסוכנויות ממשלתיות כאחד. מדובר בדלת אחורית שהוסתרה בחוכמה והוטמעה בתוך תוכנית הקוד הפתוח XZ Utils. הפרצה הזו, אלמלא נחשפה, הייתה עלולה לגרום לאסון דיגיטלי משמעותי, ולהעניק לתוקפים שליטה על מיליוני שרתי לינוקס.

הגיבור של הסיפור הזה הוא אנדרס פרוינד, מפתח של מיקרוסופט (לא מומחה אבטחה כלל) בעל עין חדה במיוחד. בזמן הפעלת מבחני ביצועים ב-XZ Utils – כלי דחיסת קבצים תמים לכאורה – הבחין פרוינד שמשהו אינו כשורה – התוכנית צרכה כמות בלתי צפויה של כוח עיבוד. בחפירה עמוקה יותר הוא חשף ממצא מאוד מאוד מטריד – דלת אחורית, שתוכננה בקפידה כדי "לחצוב" מעבר סודי לאינספור מערכות. לפי מומחי אבטחה, שער נסתר זה, אם לא היה מזוהה, יכול היה לפתוח את הדלת למעין "מגיפה דיגיטלית" של ממש.

מיקרוסופט הגיבה רשמית, בפוסט שעליו חתום בראג'ן בריקן, מנהל תוכנית בצוות הנדסת זהויות במיקרוסופט, שעדכן כי: "ב-28 במרץ 2024 זוהתה דלת אחורית ב-XZ Utils. פגיעות זו – CVE-2024-3094 עם ציון CVSS של 10 – היא תוצאה של הפרה של שרשרת אספקת התוכנה המשפיעה על גרסאות 5.6.0 ו-5.6.1 של XZ Utils. הסוכנות האמריקנית לאבטחת סייבר ותשתיות (CISA) המליצה לארגונים לשדרג לאחור לגרסה קודמת ללא הפרות של XZ Utils". בריקן סיפק בהמשך הפרסום פרטים וכן את תגובת הענקית מרדמונד לפגיעות החמורה המסוימת.

הדלת האחורית ב-XZ Utils שכמעט והוחמצה

בפוסט שפרסם באתר מדיום, ציין ג'ייש גאבה, מומחה אבטחה צעיר, כי "XZ Utils הוא כלי עזר לדחיסת נתונים בקוד פתוח, הקיים בהפצות עיקריות של לינוקס וידוע ביחס הדחיסה המצוין שלו. הוא מספק יכולת דחיסה ופירוק נתונים ללא הפסדים במהלך כל מיני פעולות. XZ Utils תומך גם בפורמט .lzma מדור קודם, מה שהופך את הרכיב הזה לחיוני עוד יותר. חלקים רבים אחרים של תוכנה תלויים בתוכנה זו כדי ליישם דחיסה כמו sshd. לפיכך, אם המתקפה הייתה מתפשטת בצורה רחבה יותר, מספר לא ידוע של מערכות יכול היה להישאר בסיכון במשך שנים".

חקירה לגילוי מקור הדלת האחורית חשפה תוכנית מחושבת ומניפולטיבית. XZ Utils, במשך שנים, היה תחת השגחתו של מפתח יחיד, לאסה קולין שמו. קולין סיפר כי אחרי שחווה לחצים גוברים ו"מאבקים בתחום בריאות הנפש", הוא הכניס לתמונה את ג'יה טאן – משתף פעולה חדש. טאן, שהיה לכאורה מתנדב מועיל, רכש במהירות את אמונו של קולין ובסופו של דבר, קיבל מעמד של שותף לתחזוקה. סמכות חדשה זו העניקה לו, כך דווח במדיה העולמית, את היכולת להחדיר את הקוד הזדוני ל-XZ Utils – והוא בהחלט ניצל את הכוח הזה באופן שעלול היה להפוך לאסון אמיתי.

The xz utils backdoor story is nuts both from the perspective of how it was introduced and the one in a million way it was discovered. pic.twitter.com/4z0YEb6KwL

— Dare Obasanjo🐀 (@Carnage4Life) April 3, 2024

מומחי סייבר מאמינים בדיעבד כי טאן אינו מפתח רגיל. לדבריהם, התחכום של הדלת האחורית מצביע על האקר מיומן, או אפילו על פעולה שמאחוריה עומדת קבוצה בחסות המדינה.

קהילת הקוד הפתוח מודאגת

החשיפה של הפרצה המסוכנת היא עוד הוכחה לנקודות התורפה של תוכנות קוד פתוח, שלעתים קרובות מתוחזקות על ידי קהילה מסורה אך חסרת משאבים של מתנדבים. כך קורה שתוכנות אלו הופכות למטרות קלות עבור בעלי כוונות זדוניות. עקב החשיפה חלה מעין טלטלה בקהילת הקוד הפתוח, מתמודדת כעת עם העובדה המטרידה שהעבודה שלהם – הפרויקטים של חברי הקהילה – עלולה להוות קרקע פוריה עבור גורמים זדוניים בסייבר, שעלולים להתחזות בתחילה לבעלי ברית בתחום הקוד הפתוח.

הממצא הדרמטי יצר לחץ בקרב גורמים רבים ואף הצית מספר דיונים דחופים בקרב גורמי ממשל. כלל הגורמם המוטרדים מהמצב ומהסכנות האורבות בו מתמקדים כעת בחיזוק ההגנות סביב גזרת הקוד פתוח. סוכנויות אבטחת סייבר דוחקות בחברות שמסתמכות במידה רבה על תוכנת קוד פתוח להשקיע מחדש בקהילות שבונות ומתוחזקות אותה.

מדובר בקריאה לפיתוח של מערכת יחסים סימביוטית, שבה ענקיות הטכנולוגיה לא רק נהנות מהתוכנה החינמית, אלא גם תורמות משאבים לחיזוק האבטחה שלה.

עם זאת, המודל הנוכחי מציע תמריץ מועט לחברות לעשות זאת. קהילות קוד פתוח מוצפות לעתים קרובות בתלונות של ענקיות טכנולוגיה, הדורשות שמתנדבים יתקנו בעיות עבור תוכנה שמניבה להו מיליארדי דולרים ברווחים.

התקווה שהתעוררה כעת היא כי הגילוי של הדלת האחורית ב-XZ Utils ישמש את התעשייה כולה כקריאת השכמה שתדגיש את הצורך הדחוף באמצעי אבטחה חזקים יותר בתוך המערכת האקולוגית של הקוד הפתוח. עושה רושם כי התקרית המסוימת העלתה את התובנות כי שיתוף פעולה בין מפתחים, סוכנויות ממשלתיות וחברות טכנולוגיה חיוני לשמירה על התשתית הדיגיטלית העומדת בבסיס עולמנו. רק כך נוכל למנוע מהסכנות האופציונליות, שאולי כבר מקננות מתחת לפני השטח, להפוך לאסון דיגיטלי רציני.