IBM و Red Hat از ترمیم بیش از ۴۰۰ آسیب‌پذیری متن‌باز خبر دادند

IBM و Red Hat می‌گویند پروژه Lightwell بیش از ۴۰۰ آسیب‌پذیری پیش‌تر ناشناخته را در کتابخانه‌های پرکاربرد جاوا شناسایی کرده و برای آنها وصله ساخته است. این عدد بر اعلام خود دو شرکت استوار است و تا زمانی که فهرست کامل شناسه‌ها، شدت نقص‌ها و میزان پذیرش وصله‌ها منتشر نشود، نباید آن را معادل ۴۰۰ نقص بحرانی یا ۴۰۰ حمله فعال دانست.

Lightwell چه کاری انجام می‌دهد؟

سرویس Lightwell Clearinghouse برای مشتریان سازمانی طراحی شده تا وابستگی‌های متن‌باز مهم خود را برای بررسی و ترمیم در اولویت قرار دهند. Red Hat توضیح داده است که بخشی از کار پروژه به نسخه‌های قدیمی‌تر کتابخانه‌ها مربوط می‌شود؛ جایی که ارتقای کامل نرم‌افزار ممکن است برای یک سامانه تولیدی پرهزینه یا پرریسک باشد و در نتیجه backport کردن وصله اهمیت پیدا می‌کند.

طبق مستندات Red Hat، چرخه کار شامل کشف نقص، ساخت و آزمون اصلاح و سپس هماهنگی برای افشای مسئولانه و بازگرداندن وصله‌های قابل‌انتشار به پروژه‌های بالادستی است. برای اکوسیستم متن‌باز، ارزش این مدل زمانی روشن‌تر می‌شود که اصلاحات واقعاً وارد نسخه‌های مورد استفاده پروژه‌های مستقل شوند، نه اینکه فقط در محیط مشتریان تجاری باقی بمانند.

عدد ۴۰۰ چه چیزی را ثابت نمی‌کند؟

اعلام شرکت‌ها درباره بیش از ۴۰۰ آسیب‌پذیری، در درجه نخست مقیاس فعالیت پروژه را نشان می‌دهد. هنوز توزیع شدت این نقص‌ها، تعداد مواردی که شناسه عمومی گرفته‌اند، درصد وصله‌های پذیرفته‌شده در پروژه‌های بالادستی و این‌که چند مورد پیش از اصلاح قابلیت بهره‌برداری عملی داشته‌اند، به‌صورت یک مجموعه عمومی و قابل مقایسه منتشر نشده است.

این تمایز در امنیت نرم‌افزار مهم است. یک نقص کم‌خطر در یک کتابخانه کم‌استفاده و یک آسیب‌پذیری قابل بهره‌برداری از راه دور در یک جزء فراگیر، ارزش ریسک یکسانی ندارند. بنابراین ارزیابی اثر واقعی Lightwell به داده‌هایی فراتر از شمار خام نقص‌ها نیاز دارد.

هوش مصنوعی کجای ماجرا قرار می‌گیرد؟

IBM و Red Hat استفاده از ابزارهای خودکار و عامل‌های هوش مصنوعی را بخشی از فرایند کشف و ترمیم توصیف کرده‌اند. سرعت بیشتر در جست‌وجوی کد و آزمون وصله می‌تواند زمان واکنش را کوتاه کند، اما کیفیت نهایی همچنان به بازبینی انسانی، ساخت قابل بازتولید، آزمون سازگاری و شفافیت درباره منشأ تغییرات وابسته است.

معیار بعدی برای سنجش این پروژه روشن است: انتشار جزئیات فنی بیشتر، پذیرش وصله‌ها در پروژه‌های مستقل و شواهدی درباره کاهش زمان میان کشف، اصلاح و نصب. تا آن زمان، دستاورد اعلام‌شده قابل توجه است، اما اندازه اثر امنیتی آن باید با داده‌های عملی سنجیده شود.