«Лавина отчетов об уязвимостях» вынуждает curl переводить случаи с низкой степенью серьезности в публичное поле, оставляя приватную обработку только для критических и высокоприоритетных уязвимостей.
С 26 октября отчеты о низких и средних уязвимостях следует подавать в общедоступный репозиторий GitHub инструмента для передачи данных с открытым исходным кодом, сообщил мейнтейнер Даниэль Стенберг.
«Исследователи безопасности, сомневающиеся в серьезности, по-прежнему могут сообщить о проблеме на HackerOne, и мы сможем определить ее уровень. За последние несколько лет более 90 процентов всех сообщений были быстро оценены как менее чем HIGH».
Ранее в этом году Стенберг закрыл программу поощрения за обнаружение ошибок в curl, поскольку количество отчетов, сгенерированных ИИ, увеличило нагрузку на команду безопасности.
Стенберг ранее признавал, что не все отчеты, созданные с помощью ИИ, плохи, но текущая рабочая нагрузка требует иной реакции.
«Это изменение политики полностью вызвано текущей лавиной отчетов об уязвимостях, которые продолжают поступать. Мы не видим им конца и не ожидаем, что этот поток уменьшится в ближайшие несколько месяцев.
Мы как проект испытываем трудности, поскольку все ключевые мейнтейнеры чувствуют себя напряженными, перегруженными и доведенными до предела наших возможностей. Мы должны действовать, чтобы выжить. Это наш следующий шаг в стратегии выживания. Возможно, не последний. Мы стремимся не утонуть».
Публичная обработка позволит большему числу людей оценивать отчеты, разрабатывать исправления, писать уведомления и проверять связанные проблемы перед выпуском, сказал Стенберг.
Он признает, что публичная обработка отчетов об уязвимостях не уменьшит объем работы над каждым отдельным отчетом, хотя и может распределить нагрузку и облегчить поиск полученных уроков и документации. По крайней мере, такова теория.
Публичное раскрытие также дает злоумышленникам больше времени для использования уязвимостей до появления исправлений. Мейнтейнер согласен, что это неприятно, но неизбежно.
«Мы ограничиваем эту практику для случаев ниже HIGH именно по этой причине: по крайней мере, эти проблемы не являются ужасными».
Стенберг заявил, что исследователи, использующие ИИ, генерируют необычные комбинации опций, которые вряд ли встретятся в реальных приложениях, а затем рассматривают незначительные расхождения как уязвимости.
«Мы не можем продолжать идти по этому спиральному пути, сохраняя рассудок. У нас нет ни пропускной способности, ни рабочей силы, ни даже желания обрабатывать бесконечный поток отчетов об уязвимостях в таком темпе. Я считаю, что немногие программные проекты могут выдержать такой длительный период высокого объема и потопа. Что-то должно измениться». ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Paul Kunert
