【緊急】GitHubで謎のアカウントが未公開の0-day脆弱性を大量公開中

現在、匿名のGitHubアカウントが、これまで未公開であった0-day脆弱性を次々と公開するという事態が発生しています。セキュリティ担当者やエンジニアは、自身のプロジェクトや依存ライブラリに影響がないか、早急な状況確認をおすすめします。

それらって本当に全部0-dayなの？多くは既にアップストリームで修正済みのCVEやコードに由来するものだと思うんだけど。最近は「0-day」という言葉の重みがなくなっていて、何でもかんでもエクスプロイトのことをそう呼んでる気がする。

Ghidraのやつ（普段使ってるから）見てみたけど、正直微妙だね：https://github.com/bikini/exploitarium/blob/main/ghidra-12.1...

1つ目はSwiftツールディレクトリ内のバイナリを上書きできることが前提。そりゃGhidraが実行するバイナリを書き換えればコード実行できるでしょ。驚くようなことじゃない。

2つ目はよく分からない。TraceRMIについては詳しくないけど（「RMI」がRemote Method Invocationの略ってことくらいは知っておくべきかも）。

3つ目は脆弱性ですらない。単にネイティブな7zipのパースコードが到達可能であることを示してるだけ。7zipのパーサーにバグがある可能性はゼロじゃないけど、それが証明されない限り無意味だよ。

AIが脆弱性を見つけられるレベルまで賢くなってきたから、今後こういうのが急増するだろうね。まともな脆弱性が修正されるにつれて自然と落ち着くはず。もちろん一定数は残り続けるだろうけど、数自体は減って、見つかるエクスプロイトもより複雑になっていくんじゃないかな。今は過渡期ってことだ。

「0-dayっぽい脆弱性」なんてカテゴリーが必要なんじゃない？この新しい脆弱性の時代において、ダッシュ記号みたいに何でも詰め込む新しい分類を作ってさ。私みたいな古い人間は、昔ながらの手作り感あふれる職人技的な脆弱性にしか興味が湧かないんだから。卵の「平飼い」ラベルみたいな、そんな分類が必要だよ。

セキュリティ脆弱性としてはかなり微妙。大部分は単なるバグって言ったほうが正しいでしょ。

自分もCustomer Verification Programを通してClaude Opus 4.8で発見したバグのライブラリを持ってるよ。まだ公開してないし、他の誰かに既に見つけられてるのかも分からない。でも今回のレポと同じようなものだよ。

ASLRなんかで弾かれるような、非常に限定的なシナリオでのDoSバグとかバッファオーバーフロー/アンダーフローとかが山ほどある。深刻なやつを報告しても、大抵の開発者は「ああ、それ意図的に危ない設計にしてるんですよ。上の層か下の層で対処してもらうためにね」みたいな、いわゆる「フットガン（自分を撃つような設計）」な回答が返ってくるだけ。

いくつか注意深くチェックしてみたけど、正直どれも大したことないね。Dockerのやつなんてただの変な挙動で脆弱性じゃないし、これを「0-day（かなり強い言葉で、みんなもっとヤバいものを期待する）」と呼ぶのは違う気がする。

nghttp2のnghttpxのやつは少し面白いけど、フィッシングに悪用するにはリクエストキューの非決定性があってタイミングを合わせるのが非常に難しい。特定の標的を狙うのは（プロキシトラフィックを前提とすれば）ほぼ不可能だよ。

VLCのやつも単なるクラッシュ/バグ。VLCなんて変なコーデック使えばしょっちゅうクラッシュするし、今さら驚くような話じゃない。

何か見落としてるかな？

AIは発見した「数」を自分の知能の尺度だと勘違いして、何でもかんでも問題として報告したがる癖があるね。コードレビューでも同じことが起きてる。大したことない問題を大量に出してくるんだ。Mythosの出力でも同じような肥大化が起きてるんじゃないかな。深刻度じゃなくて数だけが強調されて、みんなが怖がっちゃってるだけかも。

      いかなる状況であれ、このリポジトリの素材を悪用しないでください。
      これは善意によるオープンな脆弱性開示の研究であり、
      サイバーセキュリティ分野への興味を喚起することを目的としています。

『The Anarchist Cookbook』のレシピの前書きを思い出したよ。「これは非常に危険だから絶対にやるな。ちなみに手順はこれだ」っていうね。

誰かがLLMモデルを走らせて、その結果を公開してるだけっぽいね。「システムバイナリを置き換えて任意のコードを実行しろ！」みたいな馬鹿げたものから、正当そうなものまで幅が広すぎるのがその証拠だよ。LLMに「エクスプロイトを見つけてPoCを書け」なんてプロンプトを投げれば、大体こうなる。Metasploit[1]の過去15年分のレポートで学習させれば、人間が新しいコードに書き込んだバグと同じものを発見できるんだろうね。

[1] https://en.wikipedia.org/wiki/Metasploit (https://en.wikipedia.org/wiki/Metasploit)