De PHP-maintainers verwijten Chainguard dat het een embargo rond twee kritieke kwetsbaarheden heeft gebroken. Het bedrijf publiceerde gepatchte images ruim zes uur voor de gecoördineerde bekendmaking. CEO Dan Lorenc betwist de tijdlijn niet, maar ontkent dat Chainguard iets heeft gelekt.
Onderzoekers van Calif, OpenAI en Wiz vonden de lekken tussen augustus en september. Alle drie zetten daarbij AI-modellen in. Volgens Wiz gaat het om memory corruption, waaronder use-after-free. De onderzoekers demonstreerden pre-auth remote code execution tegen onder meer WordPress, Drupal en Joomla.
Gisteren, enkele uren na het uitbrengen van de noodpatches, publiceerden de PHP-maintainers een blog over de ontdekking en het herstel. Daarin staat ook een paragraaf over een lek en een verstoorde disclosure.
Geruchten, een video en vroege images
Het begon volgens de maintainers dinsdag rond 15.00 uur UTC. Toen gingen twee CVE-nummers rond op fora en sociale media, samen met onjuiste informatie over de releasetijd en de CVSS-score. Technische details lekten op dat moment niet. Toch besloot het team de bekendmaking een dag te vervroegen, van donderdag naar woensdag. Want distributeurs waren nog bezig de fix te verpakken; direct releasen zou veel gebruikers zonder eenvoudige updatemogelijkheid laten.
Kort daarna publiceerde Calif per ongeluk een video met een proof-of-concept exploit. Ook mitigatieadvies dat aan enkele niet nader genoemde partijen in de kritieke infrastructuur was verstrekt, is mogelijk uitgelekt.
Daarna wijzen de maintainers naar Chainguard. Dat bedrijf publiceerde woensdag om 07.41 uur UTC images met de fix, ruim zes uur voor de gecoördineerde release. Net als andere distributeurs had Chainguard de patch vooraf ontvangen. “Elke aanvaller kon de fix nu in binaire vorm bestuderen, terwijl alle andere PHP-gebruikers nog op de release wachtten”, schrijven de maintainers.
Chainguard ontkent lek
Chainguard richt zich juist op het beveiligen van de software supply chain. CEO Dan Lorenc zegt tegen The Register dat zijn bedrijf niets heeft gelekt. Chainguard hoorde vrijdag van een van de onderzoekers dat er iets aankwam in PHP. Diezelfde avond vond het team met een eigen AI-harness en een frontier-model dezelfde kwetsbaarheden. Een simpele prompt om ernstige kwetsbaarheden in PHP te vinden volstond, schreef Lorenc op LinkedIn. Vanaf zaterdag werkte Chainguard samen met de maintainers en hielp het de patches testen.
“De patches zijn waanzinnig, dit is geen simpele kwetsbaarheid”, aldus Lorenc. Het kostte de maintainers volgens hem echt maanden om een werkende patch te bouwen.
Tip: PHP legt internet plat: Waarom PHP2Shell elk bedrijf raakt