GitHub, Windows zero-day açıklarını yayımlayan araştırmacıyı engelledi

Nightmare-Eclipse (diğer adıyla Chaotic Eclipse) takma adıyla bilinen bir güvenlik araştırmacısının GitHub hesabı, şirketin belirtmediği gerekçelerle engellendi. Araştırmacı projelerini GitLab’a taşıdı; iddiasına göre Microsoft da güvenlik açıklarını bildirmek için kullandığı Microsoft hesabını sildi.

Microsoft ile süregelen anlaşmazlık

Anlaşmazlık, Eclipse’in nisan başında önceden uyarı yapmadan BlueHammer adlı zero-day istismarını yayımlamasıyla başladı. O tarihten bu yana araştırmacı birkaç Windows istismarı daha yayımladı ve Microsoft Güvenlik Yanıt Merkezi’ni (MSRC) raporları görmezden gelmek ve hata ödüllerini ödememekle suçladı.

Bir blog yazısında Eclipse, hesabın engellenmesini intikam olarak nitelendirdi ve karşılığında “tek kuruş almadığını” söyledi; bu, nitelikli bir zero-day için 30.000 ila 100.000 dolar, Hyper-V açığı için 250.000 dolara kadar ödeme yapan MSRC ödül programına gönderme gibi görünüyor. Araştırmacıya göre 14 Temmuz’da şirket “hesabını verecek”, yani yeni istismarlar yayımlanacak.

Altı istismar, bir kısmı hâlihazırda kullanılıyor

Yayımlanan çalışmalar arasında Windows Defender üzerinden SYSTEM düzeyinde erişim sağlayan BlueHammer ve RedSun, Defender’ı devre dışı bırakan UnDefend, SYSTEM erişimini diğer Windows bileşenleri üzerinden elde eden GreenPlasma ve MiniPlasma ile şifreli disklerin kolayca açılmasını sağlayan BitLocker açığı YellowKey yer alıyor.

BlueHammer, RedSun ve UnDefend’in gerçek saldırılarda etkin biçimde kullanıldığı doğrulandı. Eclipse tam veya kısmi kanıt konsepti kodu yayımladığı için uzmanlar, ilgilenen herkesin bunları kullanabileceğini belirtiyor.

Eleştiriler ve kötü izlenim

Tharros’tan güvenlik araştırmacısı William Dormann, MSRC ile çalışmanın eskiden oldukça iyi olduğunu, ancak Microsoft’un para tasarrufu için deneyimli personeli işten çıkarıp geriye akış şeması takipçilerini bıraktığını söyledi. Ona göre dosya, araştırmacı istismarın videosunu göndermeyi reddettikten sonra kapatılmış olabilir; Dormann bunun artık MSRC’de zorunlu bir şart olduğunu belirtiyor.

Microsoft konuya ilişkin açıklama yapmadı; dolayısıyla işbirliği yapmayan bir araştırmacının mı yoksa güvenlik raporlarını işlemekte zorlanan bir şirketin mi söz konusu olduğu belirsiz. GitHub’daki engelleme ise geniş eleştiri aldı: kod zaten herkese açık olduğu için hesabın silinmesi güvenliğe bir katkı sağlamıyor, yalnızca tartışmaya dikkat çekiyor.