Zero-day sårbarhed

En zero-day-sårbarhed er en fejl eller svaghed i software, hardware eller firmware, som producenten endnu ikke er bekendt med, og som derfor ikke findes en sikkerhedsopdatering (patch) til. Navnet henviser til, at leverandøren i praksis har haft nul dage til at reagere, fra fejlen bliver kendt, til den kan blive udnyttet af angribere. Så snart en sårbarhed er opdaget og rettet, ophører den med at være en zero-day og bliver i stedet en almindelig, kendt sårbarhed.

Et konkret tilfælde er en sårbarhed, der i 2024 blev fundet i webbrowseren Google Chrome (CVE-2024-0519). Fejlen lå i en hukommelsesbug i browserens JavaScript-motor V8 og gjorde det muligt for angribere at afvikle skadelig kode, blot ved at et offer besøgte en forberedt hjemmeside. Fordi Chrome bruges af enorme mængder almindelige brugere og virksomheder, illustrerer sagen, hvor bredt en enkelt ukendt fejl kan ramme, før producenten når at udsende en rettelse.

Sådan opstår og udnyttes en zero-day-sårbarhed

En zero-day-sårbarhed gennemløber typisk en række faser. Først introduceres fejlen, ofte som en almindelig kodefejl eller designsvaghed under udviklingen af et program. Dernæst opdager nogen den – enten sikkerhedsforskere, softwareproducenten selv eller angribere. Finder angriberne fejlen først, kan de udvikle et såkaldt zero-day-exploit: den konkrete kode eller teknik, der udnytter svagheden til fx at afvikle skadelig kode eller opnå administratorrettigheder. Bruges dette exploit mod et reelt system, taler man om et zero-day-angreb. På et tidspunkt bliver sårbarheden til sidst afsløret over for leverandøren, som herefter kan udvikle og udsende en patch, der lukker hullet.

Zero-day-sårbarhed, zero-day-exploit og zero-day-angreb

De tre begreber bliver ofte brugt i flæng, men dækker forskellige ting. Zero-day-sårbarheden er selve den tekniske fejl i koden. Zero-day-exploittet er værktøjet eller metoden, en angriber bruger til at udnytte fejlen. Zero-day-angrebet er den konkrete hændelse, hvor exploittet rent faktisk sættes ind mod et system eller en organisation. En sårbarhed kan altså have eksisteret i lang tid, uden at nogen har lavet et exploit til den – den bliver først en reel trussel, når den bliver opdaget og aktivt misbrugt.

Forskellen på en zero-day og en kendt, patchet sårbarhed

Det afgørende skel går på, om leverandøren ved besked. En zero-day er ukendt for producenten, og der findes derfor ingen officiel rettelse. En kendt sårbarhed – ofte kaldet en n-day – er derimod allerede offentliggjort, og der findes typisk en patch, som brugerne blot mangler at installere. Det kan lyde som om n-day-sårbarheder er mindre farlige, men i praksis forårsager de ofte mere samlet skade, fordi mange organisationer er langsomme til at installere opdateringer, selvom løsningen ligger klar. Ifølge sikkerhedsfirmaet Vectra tog det i 2023 i gennemsnit omkring fem dage for angribere at udvikle et brugbart exploit til en nyoffentliggjort sårbarhed, mens organisationer typisk bruger mellem 60 og 150 dage på selv at installere den tilhørende patch. Det efterlader et bredt tidsrum, hvor selv en allerede kendt og “løst” sårbarhed reelt kan udnyttes.

Hvorfor er zero-day-sårbarheder særligt farlige?

Fordi fejlen er ukendt, findes der ingen signatur, som traditionelle antivirusprogrammer eller firewalls kan genkende angrebet på. Forsvaret må derfor i høj grad basere sig på generel adfærdsovervågning og god grundsikkerhed frem for at kunne blokere det specifikke angreb på forhånd. Konsekvenserne af et vellykket zero-day-angreb spænder fra tyveri af følsomme data og økonomisk tab til driftsforstyrrelser og skade på en organisations omdømme. Angribere bruger ofte et zero-day-exploit som første indgang til systemet og følger derefter op ved at installere en trojansk hest, der giver vedvarende og skjult adgang. Har angriberen kompromitteret mange enheder på denne måde, kan de også indgå i et botnet, som efterfølgende bruges til nye angreb mod helt andre mål. Både store virksomheder, offentlige myndigheder, finansielle institutioner og sundhedsorganisationer er typiske mål, fordi de sidder på data eller systemer, der har høj værdi for en angriber.

Hvordan kan man beskytte sig mod zero-day-angreb?

Ingen løsning kan garantere fuld beskyttelse mod en trussel, ingen endnu kender til, men risikoen kan reduceres. Et grundlæggende overblik over egne it-aktiver – hvilket udstyr og hvilken software man rent faktisk har kørende, og om det er tilgængeligt fra internettet – gør det lettere hurtigt at vurdere, om man er berørt, den dag en zero-day bliver offentlig kendt. Adfærdsbaseret overvågning og segmenterede netværk kan begrænse, hvor langt en angriber kan bevæge sig, selv efter et vellykket indbrud. Bruger man løsninger leveret som SaaS, ligger ansvaret for selve patchningen typisk hos leverandøren, mens man ved lokalt installeret software selv skal følge med i sikkerhedsopdateringer og installere dem hurtigt. Endelig bør man have en plan for, hvordan man reagerer, hvis en zero-day rammer ens egne systemer – herunder hvordan man undersøger, om man allerede er blevet kompromitteret, inden opdateringen når at blive installeret.