Ein Unbekannter mit dem sommerlichen Pseudonym \u201eBikini\u201c hat auf der Codesharing-Plattform Github Proof-of-Concept-Code f\u00fcr knapp zwei Dutzend Sicherheitsl\u00fccken ver\u00f6ffentlicht \u2013 nach eigener Aussage allesamt bislang ungefixte Zero-Days. Darunter befinden sich Exploits f\u00fcr PHP, OpenVPN, VLC und andere Projekte. Die Schwere der Sicherheitsl\u00fccken variiert von Informationslecks bis zu Codeeinschleusung. Wer will, kann die L\u00fccken an den Hersteller melden, um Ruhm einzuheimsen.<\/p>\n
Weiterlesen nach der Anzeige<\/p>\n
Im Github-Repository \u201eExploitarium<\/a>\u201c finden sich alle L\u00fccken mit einer kurzen README, die wie Teile der eigentlichen L\u00fcckenfindung KI-generiert ist. Im Einzelnen sind folgende Projekte betroffen:<\/p>\n Wie der unbekannte Sicherheitsforscher selber schreibt, sind manche seiner Funde \u201eein bi\u00dfchen schrottig\u201c, manche seien aber besser. Er nutzte KI f\u00fcr Handreichungen bei der L\u00fcckensuche, betont jedoch, dass fast alle PoCs handkodiert seien. Bis auf eine L\u00fccke \u2013 CVE-2026-55200 \u2013 gibt es weder CVE-Kennungen noch CVSS-Punkte oder andere Zusatzinformationen. Potenziell Betroffene m\u00fcssen diese aus den jeweiligen Readmes und dem PoC-Code extrahieren oder auf Bearbeitung durch die Hersteller warten. Auf die Hintergr\u00fcnde von CVE, CVSS und anderen Metadaten f\u00fcr Sicherheitsl\u00fccken geht der Podcast \u201ePasswort\u201c in seiner aktuellen Folge ausf\u00fchrlich ein.<\/p>\n Empfohlener redaktioneller Inhalt<\/p>\n \n Mit Ihrer Zustimmung wird hier ein externer Podcast (Podigee GmbH) geladen.\n <\/p>\n Podcast jetzt laden\n <\/p>\n Motivation: Nachwuchswerbung<\/p>\n Die Motivation hinter dem Exploitarium sei Nachwuchswerbung, schreibt der Anonymous. Er schenkt die Funde der \u00d6ffentlichkeit und betont, dass ein jeder sie an die betroffenen Hersteller melden d\u00fcrfe, um einen CVE daf\u00fcr \u201eeinzuheimsen\u201c. Der Sicherheitsforscher habe sich zu diesem Vorgehen entschlossen, um \u201eLeute in das Feld [der Exploitsuche, d.R.] zu locken\u201c, er empfinde es als \u201eeffizientesten Weg\u201c der Nachwuchswerbung.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n KI-generierte Sicherheitsl\u00fccken \u00fcberschwemmen in den vergangenen Monaten in einer Art \u201eVulnokalypse\u201c die Bug-Bounty-Programme vieler Hersteller und f\u00fchren zu sp\u00fcrbaren Abnutzungserscheinungen. Das cURL-Projekt hat daher den \u201eSummer of Bliss<\/a>\u201c ausgerufen und bearbeitet im Juli keine Fehlermeldungen.<\/p>\n\n