(także exploit dnia zerowego) – exploit wykorzystujący podatność, dla której producent nie udostępnił jeszcze poprawki. Atak z jego użyciem nazywa się atakiem dnia zerowego (). Według definicji NIST taki atak wykorzystuje wcześniej nieznaną podatność sprzętu, oprogramowania układowego lub oprogramowania. W szerszym ujęciu za exploit dnia zerowego uznaje się każdy exploit istniejący przed udostępnieniem poprawki, także wtedy, gdy sama podatność jest już publicznie znana.
Ujawnianie podatności Osoba, która znajdzie podatność, powinna najpierw powiadomić producenta lub właściciela podatnego systemu i nie publikować informacji o niej, dopóki błąd nie zostanie usunięty. Taki proces nazywa się skoordynowanym ujawnianiem podatności (, CVD). Dyrektywa NIS 2 zobowiązała państwa Unii Europejskiej do wyznaczenia zespołu CSIRT, który pełni rolę koordynatora i zaufanego pośrednika między zgłaszającymi a producentami. W Polsce jest nim CERT Polska, który publikuje informacje o zgłoszonej podatności w programie CVE zwykle po 90 dniach od przekazania producentowi jej szczegółów. Testowanie zabezpieczeń bez zgody właściciela systemu nie podlega w Polsce karze na warunkach określonych w art. 269c Kodeksu karnego, m.in. gdy testujący niezwłocznie powiadomi dysponenta systemu o wykrytych zagrożeniach.
Alternatywą jest full disclosure, czyli natychmiastowe publiczne ujawnienie informacji o podatności.
Wykrywanie Mechanizmy wykrywania oparte na wiedzy o konkretnych podatnościach nie rozpoznają ataków na podatności nieznane. Takie ataki mogą natomiast wykrywać honeypoty wysokiej interakcji, które korzystają z prawdziwych systemów i aplikacji. Przykładowo w lipcu 2005 roku kliencki honeypot HoneyMonkey firmy Microsoft wykrył pierwsze znane użycie w internecie exploita podatności javaprxy.dll w przeglądarce Internet Explorer, dla której nie było jeszcze poprawki.
Przypisy
Kategoria:Oprogramowanie łamiące zabezpieczenia