Milanilainen startup on löytänyt macOS:n täyden haltuunoton mahdollistavan haavoittuvuuden käyttämällä ChatGPT:tä tutkimusvälineenä. Mutta yritys ei voi ilmoittaa haavoittuvuudesta Applelle, koska yhtiön uusi ilmoituskiintiö estää ilmoituksen tekemisen.
Miten haavoittuvuus löydettiin
Startupin tietoturvatiimi testasi macOS:n sisäisiä osia ChatGPT:n avulla etsien heikkouksia. He löysivät ketjun bugeja, jotka hyödynnettyinä antaisivat hyökkääjälle täyden hallinnan kohde-Maciin – ilman käyttäjän toimia alkuperäisen kompromettoinnin jälkeen. Tiimi vahvisti, että haavoittuvuus toimii uusimmassa macOS-versiossa.
ChatGPT auttoi tutkijoita nopeuttamaan analyysiään tuottamalla koodinpätkiä ja ehdottamalla hyökkäysvektoreita. Startup kieltäytyi nimeämästä tiettyä macOS-komponenttia, jota haavoittuvuus koskee, vedoten vastuulliseen julkaisukäytäntöön.
Applen ilmoituskiintiö estää raportin
Apple otti äskettäin käyttöön kiintiön, joka rajoittaa yksittäisen tutkijan tai organisaation virallisen tietoturvaportaalin kautta tekemien haavoittuvuusilmoitusten määrää. Startup oli jo täyttänyt kiintiön aiemmilla, vähemmän kriittisillä löydöksillä. Kun he yrittivät ilmoittaa täyden haltuunoton mahdollistavasta haavoittuvuudesta, järjestelmä hylkäsi ilmoituksen.
Yritys sanoo, ettei sillä ole mahdollisuutta ohittaa kiintiötä portaalin ulkopuolella. Applen tietoturvatiimi ei ota vastaan ilmoituksia sähköpostitse tai muiden kanavien kautta tämäntyyppisistä bugeista. Startup on nyt tilanteessa, jossa sillä on kriittinen haavoittuvuus, jota se ei voi vastuullisesti ilmoittaa.
Mitä kiintiö tarkoittaa tietoturvatutkimukselle
Applen ilmoituskiintiö on suunniteltu estämään roskapostin ja heikkolaatuisten raporttien tulviminen tietoturvatiimille. Mutta käytäntö estää myös lailliset, vakavat löydökset. Milanilainen startup ei ole ensimmäinen, joka törmää rajaan – muut tutkijat ovat valittaneet julkisesti kiintiön estävän vakavien bugien ilmoittamisen.
Apple ei ole kommentoinut tätä tapausta. Yhtiön tietoturvadokumentaation mukaan tutkijoiden, jotka ylittävät kiintiön, on odotettava seuraavaan neljännekseen asti ennen uusien raporttien lähettämistä. Tämä tarkoittaa, että haavoittuvuus voi pysyä ilmoittamatta viikkoja tai kuukausia.
Mitä seuraavaksi
Startup punnitsee vaihtoehtojaan. Se voi odottaa kiintiön nollaantumista toivoen, ettei kukaan haitallinen toimija löydä samaa vikaa sillä välin. Tai se voi julkaista haavoittuvuuden yksityiskohdat julkisesti – mikä pakottaisi Applen toimimaan, mutta altistaisi myös käyttäjät riskille.
Toistaiseksi haavoittuvuus on salaisuus, jonka tuntevat vain startup ja mahdollisesti kuka tahansa, joka seuraa ChatGPT:n tuotoksia. Yritys ei ole päättänyt toimintatavastaan. Applen ilmoituskiintiö jättää heidät ilman hyviä vaihtoehtoja.
