要約

  • Erlang Ecosystem Foundationの理事長はRIPE 93で、担当CVEが昨年の約10件から今年は500件超になるとの見通しを示した。
  • 候補の発見後には再現、保守担当者との連絡、修正、公開判断が続く。人の作業が処理能力を決める。

発見装置のベルトは速くなった。修正を受け取る人の机は一つだ。RIPE 93のセキュリティ部会でErlang Ecosystem Foundation理事長のAlistair Woodmanは、同財団のCVE番号付与機関が昨年扱った案件は約10件、今年は500件を超える見込みだと述べた。約50倍という計算になる。これは年末の確定値ではなく、現場がいま向き合う仕事量の予測だ。Woodmanによれば、欠陥が突然生まれたのではなく、見つける手段が鋭くなった。

CVEプログラムの公式登録によると、財団はHex.pmの稼働中のパッケージや指定されたErlang、Elixir、Gleamのプロジェクトを担当する。別の番号付与機関の範囲は除く。Woodmanは対象となる生態系に2万件超のパッケージがあると推計する。AIが候補を拾っても、どの報告が本当の脆弱性か、影響する版はどれか、誰が直せるかは案件ごとに確かめる必要がある。

講演の逐語録には、発見役と受付役のやり取りが出てくる。前者はAIを使って候補を探し、後者はCNAの待ち行列を見て流入を調整する。財団は一つのプロジェクトに関連する報告をまとめ、保守担当者に修正のための時間を確保してもらう方法も試している。元のスライドは「Maintainer Burnout」を独立した一枚にした。山積みの報告書より、空白になった保守担当者の予定表の方が深刻だ。

財団の調整手順は、報告の選別、最小限の再現例、担当者への非公開連絡、CNA内の審査、公開の順を定める。反応が14日間なければ財団は担当者の参加なしに公開できる。既に公になった、または悪用が進む脆弱性には24時間の公開期限を掲げる。Woodmanは資金をスポンサーに頼るとも話した。発見の自動化は修正の人件費を消さず、むしろ前面に押し出している。