CrossCommitVuln-Bench: A Dataset of Multi-Commit Python Vulnerabilities Invisible to Per-Commit Static Analysis
تقدم هذه الورقة CrossCommitVuln-Bench، وهي مجموعة بيانات تضم 15 ثغرة أمنية حقيقية في لغة بايثون تتملص من التحليل الساكن لكل عملية إيداع (per-commit) لأن ظروف استغلالها تمتد عبر عمليات إيداع حميدة متعددة، مما يكشف أن أدوات تحليل الأمان الساكن (SAST) الحالية تغفل عن 87% من مثل هذه الثغرات العابرة لعمليات الإيداع حتى عند تحليل الكود المصدري بالكامل.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك حارس أمن في مبنى مكاتب ضخم ومزدحم. مهمتك هي منع الأشرار من الدخول. لديك قاعدة صارمة للغاية: أنت تنظر إلى شخص واحد فقط في كل مرة أثناء دخوله من الباب الأمامي.
إذا دخل شخص يحمل حقيبة عمل تبدو غير ضارة، فأنت تسمح له بالمرور. إذا دخل شخص يرتدي بدلة عادية، فأنت تسمح له بالمرور. أنت لا ترى الصورة الكاملة أبداً لأنك تتحقق فقط من لقطة اللحظة التي يصل فيها.
هذا هو بالضبط كيف تعمل معظم أدوات أمن البرمجيات الحديثة اليوم. تُسمى هذه الأدوات SAST (اختبار أمن التطبيقات الساكن). إنها تفحص تغييرات الكود (التي تسمى commits) واحداً تلو الآخر، مثل التحقق من شخص واحد عند الباب.
المشكلة: عملية السطو "بطيئة الحركة"
تقدم الورقة البحثية مشكلة جديدة تسمى ثغرات العبور بين التغييرات (Cross-Commit Vulnerabilities). هذه تشبه عملية سطو حيث لا يقتحم الأشرار المكان دفعة واحدة، بل يتسللون على مدار عدة أيام أو شهور أو حتى سنوات، قطعة صغيرة تلو الأخرى.
إليك كيف تحدث عملية "السطو" في مثال مبنى المكاتب الخاص بنا:
- اليوم الأول (التغيير أ): يحضر موظف لطيف قارئ بطاقات يبدو غير ضار. يبدو الأمر وكأنه ترقية مشروعة لنظام الأمن. يتحقق الحارس (أداة البرمجيات) منه، ويرى أنه مجرد قارئ، فيقول: "كل شيء آٍمن".
- اليوم الثلاثون (التغيير ب): يحضر موظف آخر مفتاحاً رئيسياً (Master Key) يفتح كل الأبواب. مرة أخرى، يبدو الأمر وكأنه مهمة صيانة عادية. يتحقق الحارس ويقول: "كل شيء آمن".
- اليوم الستون (التغيير ج): يقوم موظف ثالث بإزالة كاميرا الأمن التي كانت تراقب قارئ البطاقات. يرى الحارس أن الكاميرا قد اختفت، لكنه يعتقد: "ربما يتم ترقيتها فقط"، فيسمح بمرور هذا التغيير.
النتيجة: إذا نظرت إلى اليوم الأول، أو اليوم الثلاثين، أو اليوم الستين بشكل منفصل، سيبدو كل شيء آمناً. ولكن إذا نظرت إلى المبنى بعد انتهاء الأيام الثلاثة، ستدرك: يمكن للأشرار الآن الدخول، واستخدام قارئ البطاقات، واستخدام المفتاح الرئيسي، والسير مباشرة دون أن تكتشفهم الكاميرا المفقودة.
الثغرة لم تُخلق بسبب خطأ واحد كبير؛ بل تم بناؤها ببطء، قطعة بقطعة. ولأن حارس الأمن يتحقق من "شخص واحد في كل مرة"، فإنه يفوته الجريمة بأكملها.
ماذا فعلت الورقة البحثية؟
قرر الباحث، أروناب مجمدار (Arunabh Majumdar)، اختبار هذه النظرية. قام بإنشاء "دورة تدريبية" خاصة تسمى CrossCommitVuln-Bench.
- الفصل الدراسي: جمع 15 مثالاً واقعياً من ثغرات برمجيات لغة بايثون (CVEs) حيث حدثت عملية "السطو بطيء الحركة" هذه بالفعل.
- الاختبار: أخذ أداتين شائعتين للأمن (أداتان باسم Semgrep و Bandit) وطلب منهما فحص هذه الحالات الـ 15.
- الاختبار 1 (لكل تغيير على حدة): "افحص عمل كل يوم بشكل فردي".
- الاختبار 2 (التراكمي): "افحص المبنى بأك its بعد انتهاء كل الأعمال".
النتائج الصادمة
كانت النتائج مخيفة لمطوري البرمجيات:
- نقطة العمى "واحداً تلو الآخر": عندما فحصت الأدوات الكود يوماً بيوم، وجدت المشكلة في حالة واحدة فقط من أصل 15 حالة (13%). في الحالات الـ 14 الأخرى، قالت الأدوات: "كل شيء على ما يرام!" لأنها لم تستطع رؤية الرابط بين الأيام المختلفة.
- حتى فحص "المبنى بأكمله" فشل: حتى عندما نظرت الأدوات إلى الكود بأكمله في وقت واحد (الفحص التراكمي)، فقد فاتتها 73% من المشكلات.
- لماذا؟ لأن الأدوات سيئة في اكتشاف "الأشياء المفقودة" (مثل كاميرا أمن مفقودة) أو "الأشياء المخفية" (مثل قارئ بطاقات سري يبدو كأداة عادية).
لماذا يهم هذا الأمر؟
فكر في الأمر مثل بناء منزل.
- الطريقة القديمة: أنت تتحقق من الطوب أثناء وضعه. إذا بدا الطوبة جيدة، فتمضي قدماً.
- الواقع الجديد: المنزل يتم بناؤه بواسطة فريق حيث يضع شخص ما طوبة، ويقوم آخر بطلاؤها، وثالث يزيل دعامة (عمود دعم). إذا تحققت من الطوبة فقط عند وضعها، فستفقد حقيقة أن المنزل سينهار بسبب غياب الدعامة.
تجادل الورقة بأن أدواتنا الأمنية الحالية تشبه طريقة "التحقق من الطوبة". إنها رائعة في رصد الأخطاء الواضحة، لكنها عمياء عن الهجمات المعقدة متعددة الخطوات التي تحدث بمرور الوقت.
الخلاية
نحن بحاجة إلى أدوات أمنية جديدة لا تكتفي بالنظر إلى "لقطات" من الكود. نحن بحاجة إلى أدوات تتذكر تاريخ الكود، مثل محقق ينظر إلى الجدول الزمني الكامل للأحداث، وليس فقط إلى مسرح الجريمة في يوم ثلاثاء معين.
لق{د أطلق المؤلف مجموعة البيانات هذه (الـ 15 مثالاً) للجمهور حتى يتمكن الباحثون الآخرون من بناء هذه الأدوات التي تعمل بأسلوب "المحقق" للإمساك بعمليات السطو بطيئة الحركة قبل وقوعها.
باخت de مختصر: إذا كنت تتحقق من الكود تغييراً واحداً في كل مرة، فإنك تترك الباب الخلفي مفتوحاً على مصراعيه للمخترقين الأذكياء الذين يعرفون كيف يتسللون ببطء.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.