GitHub hat den Sicherheitsforscher @r31n im Rahmen seiner Berichterstattung zum Cybersecurity Awareness Month vorgestellt und dabei dessen Arbeit an GitHub Enterprise Server sowie seinen Ansatz hervorgehoben, Schwachstellen im Bug-Bounty-Programm des Unternehmens zu finden und zu bestätigen.
In einem von GitHub veröffentlichten Interview sagte @r31n, das Programm biete ein breites und sich weiterentwickelndes Ziel mit neuen Funktionen und komplexen Systemen, die Möglichkeiten böten, Sicherheitskompetenzen auszubauen. Statt sich auf eine einzelne Schwachstellenkategorie zu konzentrieren, interessiert sich der Forscher besonders für Exploit-Ketten, bei denen sich jeweils für sich genommen begrenzte Probleme zu einem schwerwiegenderen Sicherheitsproblem verbinden können.
Der Forschungsprozess beginnt damit, eine Anwendung zu erfassen und komplexe Funktionen, Integrationen und Vertrauensgrenzen zu untersuchen. Dabei wird betrachtet, wie von Angreifern kontrollierte Daten in ein System gelangen, wie sie verarbeitet oder überprüft werden und ob sie eine sensible Operation erreichen können, etwa eine Netzwerkanfrage, einen Dateizugriff oder eine Autorisierungsentscheidung. Ein Fund sei bestätigt, so der Forscher, wenn der Angriffsweg verstanden sei, ein funktionsfähiger Proof of Concept vorliege und sich die Auswirkungen erklären ließen.
@r31n bevorzugt manuelle Untersuchungen und kleine, auf eine bestimmte Aufgabe zugeschnittene Skripte, nutzt aber auch KI, um Aufgaben wie die Orientierung in unbekanntem Code, das Nachverfolgen von Datenflüssen und das Erstellen von Proof-of-Concept-Skripten zu beschleunigen. Der Forscher warnte, dass KI-Ergebnisse falsch sein können, und sagte, dass Forschende jede potenzielle Schwachstelle selbst reproduzieren und überprüfen müssen. Seiner Ansicht nach sollte KI die Forschung verbessern und nicht einfach die Zahl der Meldungen erhöhen.
Neulingen riet der Forscher außerdem, zu lernen, wie Systeme funktionieren, statt sich nur auf Listen mit Payloads und Tools zu verlassen. Er empfahl, ein Programm und ein Ziel auszuwählen, dessen Funktionen und Berechtigungsstufen zu erkunden und Zeit in ein detailliertes Verständnis zu investieren. Meldungen sollten einen klaren, reproduzierbaren Proof of Concept enthalten, damit Sicherheitsteams das Problem überprüfen können.
GitHub zufolge können Forschende, die regelmäßig bestätigte Funde einreichen, in das dauerhafte VIP-Programm eingeladen werden. Dieses bietet höhere Prämien, schnellere Reaktionszeiten und frühzeitige Einblicke in Beta-Produkte und -Funktionen. Das Unternehmen nimmt Bug-Meldungen über HackerOne entgegen.
Quellen: GitHub Blog.