نگهدارندگان فرهای باتلاقی نقص های سطح پایین را برای زنده ماندن از آسیب پذیری «بهمن» عمومی می کنند

«بهمنی از گزارش‌های آسیب‌پذیری» کرل را مجبور می‌کند موارد با شدت پایین‌تر را در معرض دید عموم قرار دهد، و رسیدگی خصوصی را برای نقص‌های بالا و حیاتی در نظر می‌گیرد.

دانیل استنبرگ، نگهدارنده گفت: از 26 اکتبر، گزارش‌های با شدت کم و متوسط ​​باید در مخزن عمومی GitHub ابزار انتقال داده منبع باز ثبت شوند.

"محققان امنیتی مشکوک هنوز هم می‌توانند این مشکل را در HackerOne ارسال کنند و ما می‌توانیم به آنها بگوییم که شدت آن چقدر است. در چند سال گذشته، بیش از 90 درصد از همه ارسال‌ها به سرعت کمتر از HIGH ارزیابی می‌شوند."

استنبرگ در حال حاضر طرح پاداش اشکالات curl را در سال جاری بسته بود، زیرا ارسال‌های ارائه شده توسط هوش مصنوعی کار را روی تیم امنیتی خود انباشته کرد.

استنبرگ قبلا اذعان کرده بود که همه گزارش‌های به کمک هوش مصنوعی بد نیستند، اما حجم کار اکنون پاسخ دیگری را می‌طلبد.

"این تغییر سیاست به طور کامل توسط بهمن فعلی از گزارش‌های آسیب‌پذیری ایجاد شده است. ما هیچ پایانی برای آنها نمی‌بینیم و پیش‌بینی نمی‌کنیم که این سیل ظرف چند ماه آینده کاهش یابد.

"ما به عنوان یک پروژه در حال مبارزه هستیم زیرا همه نگهبانان کلیدی احساس می کنند تحت فشار هستند، بیش از حد بارگذاری شده اند و به آستانه آنچه می توانیم جمع آوری کنیم، رسیده اند. ما باید برای زنده ماندن اقدام کنیم. این گام بعدی ما در استراتژی بقا است. ممکن است آخرین ما نباشد. هدف ما غرق نشدن است."

استنبرگ گفت که مدیریت عمومی به افراد بیشتری اجازه می‌دهد گزارش‌ها را ارزیابی کنند، اصلاحات را ایجاد کنند، توصیه‌هایی بنویسند و مشکلات مرتبط را قبل از ارسال بررسی کنند.

او اذعان می‌کند که رسیدگی به گزارش‌های آسیب‌پذیری به‌صورت عمومی، کار در هر گزارش را کاهش نمی‌دهد، اگرچه می‌تواند بار را گسترش دهد و درس‌ها و مستندات حاصل را آسان‌تر پیدا کند. حداقل این تئوری است.

افشای عمومی همچنین به مهاجمان زمان بیشتری برای سوء استفاده از نقص‌ها قبل از رسیدن به رفع مشکل می‌دهد. نگهدار موافقت می کند که این امر تاسف بار است اما اجتناب ناپذیر است.

ما به این دلیل این عمل را به کمتر از HIGH محدود می کنیم: حداقل این مشکلات وحشتناک نیستند.

استنبرگ گفت محققانی که از هوش مصنوعی استفاده می‌کنند، ترکیب‌های غیرمعمولی را تولید می‌کنند که بعید است در برنامه‌های کاربردی واقعی اتفاق بیفتد، سپس اختلافات جزئی را به عنوان آسیب‌پذیری در نظر می‌گیرند.

ما نمی‌توانیم این مسیر مارپیچ را با سلامت عقل خود ادامه دهیم. ما پهنای باند، نیروی انسانی یا حتی اراده لازم برای مدیریت یک جریان گزارش آسیب‌پذیری بی‌پایان را با این سرعت نداریم. من معتقدم که تعداد کمی از پروژه‌های نرم‌افزاری می‌توانند این نوع سیل طولانی مدت با حجم بالا را برای دوره‌های طولانی تحمل کنند. ®