Resumen

  • Alistair Woodman dijo en RIPE 93 que la autoridad CVE de Erlang gestionó unos diez casos el año pasado y proyecta más de 500 para este.
  • Un aviso necesita prueba, contacto con el mantenedor, arreglo y publicación; ninguna de esas tareas desaparece cuando la búsqueda se automatiza.

La máquina encontró la autopista hacia el fallo. El mantenedor sigue buscando un hueco en su agenda. En una charla de seguridad de RIPE 93, Alistair Woodman, presidente de la Erlang Ecosystem Foundation, puso cifras a esa diferencia de ritmos: alrededor de diez CVE atendidos el año pasado y una previsión superior a 500 este año. Es un cálculo de cierre de año, cerca de cincuenta veces el punto de partida. Woodman atribuye el salto a que ahora se encuentran defectos que ya estaban en el código.

El alcance oficial de su CNA incluye paquetes activos de Hex.pm y proyectos concretos de Erlang, Elixir y Gleam cuando no pertenecen a otra autoridad. Woodman habló de más de 20.000 paquetes. El catálogo ofrece un enorme terreno para herramientas de búsqueda; también multiplica la cantidad de autores a los que hay que localizar cuando aparece un informe serio.

La transcripción original describe una pareja de trabajo: una persona usa IA para encontrar candidatos y otra controla la cola de la CNA. La primera puede seguir explorando; la segunda le dice cuándo el equipo ya no da abasto. La fundación prueba agrupar los hallazgos por proyecto y avisar al mantenedor para que reserve tiempo de reparación. En las diapositivas, «Maintainer Burnout» ocupa su propia página. No hace falta una gráfica para entender el problema.

La guía de coordinación de EEF muestra el camino de un caso: clasificarlo, reproducirlo mínimamente, encontrar al mantenedor, preparar la ficha y conseguir la revisión de la CNA antes de publicarla. Si el proyecto no responde en catorce días, la fundación puede publicar sin él. Para fallas ya públicas o explotadas, el plazo indicado es de 24 horas. El calendario se estrecha justo donde una persona tiene que decidir qué es real y qué versión lo corrige.

Woodman dijo que la operación depende de patrocinio. La búsqueda acelerada convierte el tiempo de mantenimiento en la factura central de la seguridad del ecosistema.