Zusammenfassung

  • Der Vorsitzende der Erlang Ecosystem Foundation erwartet für ihre CVE-Vergabestelle mehr als 500 Fälle in diesem Jahr; im vergangenen waren es laut seinem RIPE-93-Vortrag etwa zehn.
  • Automatisierte Suche füllt den Eingang. Reproduzierbarer Nachweis, Kontakt zum Projekt, Fix und Veröffentlichung brauchen weiterhin Menschen.

Die Suchmaschine hat Vollgas gegeben. Der Maintainer sucht noch ein freies Zeitfenster. Auf RIPE 93 beschrieb Stiftungspräsident Alistair Woodman, wie sich die Arbeit ihrer CVE-Vergabestelle verändert: rund zehn Fälle im Vorjahr, voraussichtlich mehr als 500 in diesem Jahr. Das wäre etwa das Fünfzigfache. Seine Jahresprognose beschreibt den bevorstehenden Arbeitsberg, keine bereits abgeschlossene Jahresstatistik. Die Schwachstellen, sagt Woodman, lagen schon im Code; Werkzeuge finden sie nun schneller.

Der offizielle CVE-Eintrag weist der Stiftung aktive Hex.pm-Pakete und benannte Erlang-, Elixir- und Gleam-Projekte zu, soweit keine andere Vergabestelle zuständig ist. Woodman schätzt den Bestand auf mehr als 20.000 Pakete. In diesem Feld kann ein automatischer Prüfer viele Kandidaten produzieren. Ob ein gemeldeter Fehler sicherheitsrelevant und nachvollziehbar ist, entscheidet sich erst am konkreten Fall und oft im Gespräch mit einer schwer erreichbaren Projektbetreuung.

Das Sitzungsprotokoll zeigt einen ungewöhnlichen Regler: Ein Mitarbeiter sucht mit KI nach Fehlern; ein anderer überwacht die Tiefe der CVE-Warteschlange und bremst den Zufluss. Die Stiftung testet außerdem, Funde für ein Projekt gebündelt anzukündigen. Maintainer könnten dann Reparaturzeit reservieren, statt bei jedem neuen Hinweis ihre Arbeit zu unterbrechen. Auf den Originalfolien steht „Maintainer Burnout“ allein auf einer Folie. Dafür braucht es keine komplizierte Metrik.

Im veröffentlichten Koordinationsverfahren trägt der Eingangsstempel noch keine fertige Sicherheitslücke. Zuerst prüft ein Koordinator den Bericht und baut einen kleinen, wiederholbaren Nachweis. Dann beginnt die Suche nach dem zuständigen Maintainer. Die Stiftung will ihn binnen zwei Werktagen erreichen; nach einer Woche ohne Antwort folgt ein weiterer Versuch. Schweigt das Projekt 14 Tage lang, kann die Stiftung den CVE-Eintrag allein veröffentlichen. Für bereits öffentliche oder aktiv ausgenutzte Lücken gilt ein 24-Stunden-Ziel. Jede Uhr hängt an einer anderen Entscheidung: prüfen, erreichen, reparieren, veröffentlichen.

Woodman wirbt für Sponsoren, die diese Arbeit tragen. Der Scanner bekommt Tempo. Die Werkstatt braucht Personal, Geld und einen Kalender, den sie selbst führen kann.