Il 19 luglio 2024, CrowdStrike ha rilasciato un aggiornamento di configurazione dei contenuti per il sensore Windows, mirato a raccogliere telemetria su nuove tecniche di minaccia. Tuttavia, questo aggiornamento ha causato crash di sistema su Windows (BSOD) per i dispositivi che eseguivano il sensore versione 7.11 e superiori. L’aggiornamento difettoso è stato ritirato poco dopo, il 19 luglio 2024 alle 05:27 UTC.
Cause dell’incidente
L’aggiornamento problematico ha coinvolto un tipo di contenuto chiamato “Rapid Response Content“. A differenza del contenuto del sensore, che viene aggiornato con ogni nuova versione del sensore e passa attraverso un rigoroso processo di QA, il Rapid Response Content viene distribuito dinamicamente per rispondere rapidamente alle nuove minacce. L’aggiornamento del 19 luglio 2024 ha incluso un errore non rilevato, che ha portato a letture di memoria fuori dai limiti e conseguenti crash di sistema.
Misure correttive e prevenzione
Per prevenire futuri incidenti simili, CrowdStrike ha implementato diverse misure:
- Miglioramento dei Test e della Resilienza del Software: CrowdStrike aumenterà i tipi di test per il Rapid Response Content, inclusi test locali, aggiornamenti e rollback dei contenuti, stress test, fuzzing, test di stabilità e test dell’interfaccia dei contenuti.
- Distribuzione Graduale degli Aggiornamenti: Gli aggiornamenti del Rapid Response Content saranno distribuiti in modo graduale, iniziando con un gruppo di canarini e aumentando progressivamente.
- Controlli di Validazione Aggiuntivi: Saranno aggiunti ulteriori controlli di validazione per evitare che contenuti problematici vengano distribuiti.
- Maggiore Controllo per i Clienti: I clienti avranno un maggiore controllo sulla consegna degli aggiornamenti del Rapid Response Content, con la possibilità di selezionare quando e dove questi aggiornamenti vengono distribuiti.
Impatto e risoluzione
Il file di configurazione del canale responsabile dei crash di sistema è stato identificato e ritirato dai sistemi operativi. I clienti con sistemi fortemente connessi alla rete potrebbero vedere una ripresa automatica dei sistemi in loop di avvio. CrowdStrike continua a lavorare a stretto contatto con i clienti e i partner per garantire il pieno ripristino dei sistemi.
