Wo finde ich den Quellcode einer bereits beseitigten Schwachstelle (CVE) für meine Analyse?

Stell dir vor: Du bist Sicherheitsexperte, Bug Hunter oder einfach nur neugierig, wie eine bestimmte Sicherheitslücke, die als CVE (Common Vulnerabilities and Exposures) identifiziert wurde, funktioniert und wie sie behoben wurde. Du weißt, dass es wichtig ist, den Quellcode der Schwachstelle zu analysieren, um wirklich zu verstehen, wo das Problem lag und wie die Lösung aussieht. Aber wo findest du diesen Code überhaupt, nachdem er behoben wurde? Das ist gar nicht so einfach, wie es auf den ersten Blick scheint. Dieser Artikel führt dich durch die verschiedenen Möglichkeiten, den relevanten Quellcode zu finden und ihn effektiv zu analysieren.

Warum ist es wichtig, den Quellcode behobener CVEs zu analysieren?

Bevor wir uns auf die Suche nach dem Quellcode begeben, lass uns kurz darüber sprechen, warum das überhaupt wichtig ist. Die Analyse des Quellcodes behobener CVEs bietet eine Reihe von Vorteilen:

• Verbesserung des Verständnisses von Sicherheitslücken: Indem du den Code analysierst, der die Schwachstelle enthielt, kannst du besser verstehen, wie die Schwachstelle funktioniert und wie sie ausgenutzt werden konnte. Das ist entscheidend für die Entwicklung von effektiven Gegenmaßnahmen und präventiven Strategien.
• Lernen von Best Practices für sicheren Code: Durch die Untersuchung der Korrekturen kannst du lernen, wie Entwickler Sicherheitslücken beheben und wie du ähnliche Fehler in deinem eigenen Code vermeiden kannst.
• Entdeckung neuer Schwachstellen: Manchmal kann die Analyse einer behobenen CVE neue Schwachstellen oder Variationen der ursprünglichen Schwachstelle aufdecken. Das ist besonders wichtig, wenn die Korrektur nicht vollständig war oder nur einen Teil des Problems behoben hat.
• Beitrag zur Sicherheitscommunity: Indem du deine Analyse teilst, kannst du anderen helfen, mehr über Sicherheit zu lernen und die allgemeine Sicherheit von Software zu verbessern.
• Schulung und Weiterbildung: Die Analyse von CVEs ist eine exzellente Übung, um deine Fähigkeiten in den Bereichen Reverse Engineering, Code Review und Sicherheitsauditing zu verbessern.

Wo finde ich den Quellcode einer behobenen CVE?

Jetzt kommen wir zum Kern der Sache: Wo genau versteckt sich dieser begehrte Quellcode? Hier sind einige der besten Orte, um mit der Suche zu beginnen:

1. Versionskontrollsysteme (VCS) wie Git

Die meisten Open-Source-Projekte und viele kommerzielle Projekte verwenden ein Versionskontrollsystem (VCS) wie Git, um ihren Quellcode zu verwalten. Das bedeutet, dass alle Änderungen am Code, einschließlich der Korrekturen für Sicherheitslücken, in der Historie des Repositories gespeichert sind. Hier sind einige Tipps, wie du in Git nach dem Quellcode einer behobenen CVE suchen kannst:

• Finde das relevante Repository: Der erste Schritt ist, das Git-Repository des Projekts zu finden, in dem die Schwachstelle existierte. Oft findest du den Link zum Repository in der Dokumentation des Projekts, auf der Website oder in der CVE-Beschreibung selbst.
• Suche nach Commits, die die CVE erwähnen: Sobald du das Repository gefunden hast, suche nach Commits, die die CVE-Nummer in ihrer Commit-Nachricht erwähnen. Das ist oft der schnellste Weg, um die Korrektur zu finden. Du kannst Tools wie git log, GitHubs Suche oder GitLabs Suche verwenden, um nach Commits mit der CVE-Nummer zu suchen. Zum Beispiel: git log --grep="CVE-2023-12345"
• Analysiere die Diff: Wenn du den relevanten Commit gefunden hast, analysiere den Diff (die Unterschiede zwischen der vorherigen und der aktuellen Version des Codes). Der Diff zeigt dir genau, welche Zeilen Code geändert wurden, um die Schwachstelle zu beheben. Dies ist der wichtigste Teil der Analyse.
• Verwende Git-Tools wie `git blame`: `git blame` kann dir helfen, die Person zu finden, die den anfälligen Code geschrieben hat, und zu verstehen, wann er eingeführt wurde. Dies kann dir Hinweise darauf geben, wie die Schwachstelle entstanden ist.

Beispiel: Nehmen wir an, du suchst nach der Korrektur für CVE-2021-44228 (Log4Shell). Du würdest zum Apache Log4j 2 Git-Repository gehen und nach Commits suchen, die „CVE-2021-44228” in ihrer Commit-Nachricht erwähnen. Du würdest dann den Diff der gefundenen Commits analysieren, um zu sehen, wie die Schwachstelle behoben wurde.

2. Sicherheitshinweise (Security Advisories) und Bug Tracker

Viele Softwarehersteller veröffentlichen Sicherheitshinweise (Security Advisories), wenn sie Sicherheitslücken in ihren Produkten beheben. Diese Hinweise enthalten oft detaillierte Informationen über die Schwachstelle, einschließlich der betroffenen Versionen, der Art der Schwachstelle und der Art und Weise, wie sie behoben wurde. Manchmal enthalten sie sogar Links zu den relevanten Commits im Git-Repository oder Patches.

Auch Bug Tracker können wertvolle Informationen enthalten. Suche nach dem CVE in Bug Trackern wie Jira, Bugzilla oder dem Bug Tracker des jeweiligen Projekts. Oft gibt es dort Diskussionen über die Schwachstelle und Links zu den Commits, die sie beheben.

3. Open Source Vulnerability (OSV) Datenbanken

OSV (Open Source Vulnerability) ist eine Datenbank, die Informationen über Sicherheitslücken in Open-Source-Projekten sammelt und bereitstellt. Sie enthält oft Links zu den Commits, die die Schwachstellen beheben, sowie zu den Sicherheitshinweisen und Bug-Reports. OSV kann ein guter Ausgangspunkt für deine Suche sein.

4. Exploit-Datenbanken und Metasploit

Auch wenn du primär nach dem Quellcode *der Korrektur* suchst, können Exploit-Datenbanken wie Exploit-DB oder die Metasploit-Framework-Repository (insbesondere die Module) indirekt helfen. Durch die Analyse des Exploit-Codes selbst kannst du ein tieferes Verständnis für die Schwachstelle entwickeln, was dir wiederum hilft, die Korrektur besser zu verstehen, wenn du sie findest. Der Exploit-Code kann auch Hinweise auf die betroffenen Codeteile geben, was die Suche im Repository erleichtert.

5. Archive und Spiegel

Manchmal ist der Quellcode eines Projekts nicht mehr direkt verfügbar, z.B. weil das Projekt eingestellt wurde oder die Website nicht mehr existiert. In solchen Fällen kannst du versuchen, den Quellcode in Archiven wie der Internet Archive Wayback Machine oder in Spiegeln des Projekts zu finden. Es ist unwahrscheinlich, dass diese direkt auf CVE-bezogene Commits verweisen, aber sie können dir helfen, eine ältere Version des Codes zu erhalten, bevor die Schwachstelle behoben wurde, was dir einen Kontext gibt, wenn du dann die Korrektur woanders findest.

6. Sicherheitsblogs und Research-Papers

Sicherheitsforscher und -blogger veröffentlichen oft detaillierte Analysen von Sicherheitslücken, einschließlich des Quellcodes der Schwachstelle und der Korrektur. Suche nach Blogposts oder Research-Papers, die die CVE-Nummer erwähnen. Oft findest du dort nicht nur den Quellcode, sondern auch eine Erklärung, wie die Schwachstelle funktioniert und wie sie behoben wurde.

7. Tools zur Code-Analyse und statischen Analyse

Manchmal kann die Suche nach dem Quellcode der Schwachstelle auch mit dem Einsatz von Tools zur Code-Analyse und statischen Analyse kombiniert werden. Diese Tools können helfen, verdächtigen Code zu identifizieren und die potenziellen Auswirkungen einer Schwachstelle zu bewerten. Die Ergebnisse dieser Tools können dir auch Hinweise darauf geben, wo du im Quellcode genauer suchen musst.

Tipps für die Analyse des Quellcodes

Sobald du den Quellcode der Schwachstelle und der Korrektur gefunden hast, ist es wichtig, ihn sorgfältig zu analysieren. Hier sind einige Tipps, die dir dabei helfen können:

• Beginne mit dem Diff: Der Diff zeigt dir genau, welche Zeilen Code geändert wurden, um die Schwachstelle zu beheben. Konzentriere dich zunächst auf diese Änderungen und versuche zu verstehen, warum sie notwendig waren.
• Lies den umliegenden Code: Um die Änderungen im Kontext zu verstehen, lies den Code, der die geänderten Zeilen umgibt. Das hilft dir, die Funktionsweise des anfälligen Codes und die Auswirkungen der Korrektur besser zu verstehen.
• Nutze einen Debugger: Wenn du Schwierigkeiten hast, die Funktionsweise des Codes zu verstehen, verwende einen Debugger, um den Code Schritt für Schritt auszuführen. Das kann dir helfen, die Datenflüsse und die Ausführungspfade zu visualisieren.
• Dokumentiere deine Analyse: Halte deine Erkenntnisse in einer Dokumentation fest. Das hilft dir, deine Gedanken zu ordnen und deine Analyse mit anderen zu teilen.
• Frage um Hilfe: Wenn du nicht weiterkommst, scheue dich nicht, um Hilfe zu bitten. Frage in Foren, auf Mailinglisten oder in Security-Communities nach. Oft gibt es jemanden, der die Schwachstelle bereits analysiert hat und dir weiterhelfen kann.

Fazit

Die Suche nach dem Quellcode einer behobenen CVE kann eine Herausforderung sein, aber mit den richtigen Tools und Techniken ist es durchaus möglich. Durch die Analyse des Quellcodes kannst du dein Verständnis von Sicherheit verbessern, von Best Practices lernen und zur Sicherheitscommunity beitragen. Nutze die verschiedenen Ressourcen, die dir zur Verfügung stehen, und scheue dich nicht, um Hilfe zu bitten, wenn du nicht weiterkommst. Viel Erfolg bei deiner Analyse!