Sicherheitsforschung

Write-ups zur Schwachstellenforschung. Jeder Eintrag hier entspricht einem behobenen, öffentlich nachverfolgten Problem — keine theoretischen Befunde.

Adel Bouachraoui — hydra.land · LinkedIn · YesWeHack

---

Veröffentlicht

Ausstehende Offenlegung

Write-ups zu meinen Google-VRP-Meldungen — Speichersicherheit in protobuf/upb sowie CI/CD-Supply-Chain- und Agenten-Vertrauensprobleme in Googles Tooling — werden zurückgehalten, bis die Offenlegung über das Programm freigegeben ist. Neun Meldungen seit April 2026 eingereicht, zwei ausgezeichnet.

---

Weitere Anerkennungen

• CVE-2026-28962 — Apple WebKit. Schädliche Webinhalte, die zur Offenlegung vertraulicher Informationen führen. Behoben in Safari 26.5, macOS, iOS/iPadOS und visionOS. (Apple-Sicherheitshinweis)

Vorgehensweise

Quellgetriebenes Auditing statt blindem Fuzzing. Besonders achte ich auf zwei Dinge:

1. Unvollständige Fixes. Ein Patch wird unter Zeitdruck von jemandem geschrieben, der bereits entschieden hat, was der Bug ist. Genau in diesem Denkrahmen lebt der zweite Bug.
2. Guards in Bedingungsblöcken. Eine Grenzprüfung ist nur so gut wie die Menge der Pfade, die sie erreichen. Protokollparser mit unterschiedlicher Behandlung pro Richtung, pro Opcode oder pro Frametyp sind strukturell anfällig dafür.

Nichts ist ein Befund, bis ein Exploit-Oracle auslöst. Der Schweregrad wird ehrlich berichtet, auch wenn Vorbedingungen einen Bug schwer erreichbar machen.