Кратко

  • Глава Erlang Ecosystem Foundation сообщил на RIPE 93, что её орган присвоения номеров CVE обработал около десяти случаев в прошлом году и ожидает более 500 в этом.
  • После автоматического обнаружения остаются воспроизведение ошибки, связь с сопровождающим пакета, исправление и решение о раскрытии.

Машина научилась приносить находки пачками. Человек, который выпускает исправление, всё ещё открывает их по одной. На секции безопасности RIPE 93 председатель правления Erlang Ecosystem Foundation Алистер Вудман описал скачок нагрузки на её орган нумерации CVE: около десяти случаев за прошлый год и более 500 ожидаемых за этот. Прогноз даёт рост примерно в пятьдесят раз. Вудман объясняет его ускоренным обнаружением дефектов, уже находившихся в коде.

Официальная запись программы CVE относит к сфере фонда активные пакеты Hex.pm и определённые проекты Erlang, Elixir и Gleam, если за них не отвечает другой орган. По оценке Вудмана, в экосистеме более двадцати тысяч пакетов. Просканировать такой каталог можно быстро. Доказать, что сообщение описывает настоящую уязвимость, найти автора пакета и дождаться исправленной версии — работа другого темпа.

В стенограмме выступления Вудман рассказывает о паре сотрудников: один ищет кандидатов с помощью ИИ, второй следит за глубиной очереди и регулирует поток. Фонд пробует собирать сообщения по одному проекту и заранее предлагать сопровождающим выделить время на серию исправлений. Это заменяет постоянные внезапные прерывания работой, которую можно поставить в календарь. Исходные слайды отвели отдельный кадр выгоранию сопровождающих.

Процедура самого фонда требует от координатора отобрать значимый случай, подготовить минимальное воспроизведение, конфиденциально связаться с проектом и передать запись на проверку внутри органа CVE. При отсутствии ответа четырнадцать дней фонд может опубликовать запись без участия сопровождающего. Для уже известной публике или активно эксплуатируемой уязвимости указан срок в 24 часа. Эти правила задают порядок принятия решений там, где каждый день приходит новая стопка.

Вудман рассказал, что финансирование приходится искать у спонсоров. Ускорение поиска выставило счёт тем, кто проверяет отчёты и выпускает работающий код.