サイバーセキュリティ 1 h agoブックマークに追加
Linuxカーネルのセキュリティチームは48時間で432件のCVEを公開しました。これは圧倒的な数字ですが、2024年に採用されたCNAポリシーの直接的な結果であることを考慮する必要があります。
L'équipe de sicurezza del nucleo Linux pubblica 432 CVE in due giorni - un pic che alimenta titoli allarmanti e discussioni sulle liste di distribuzione. Il numero stesso è incontestabile, ma la sua interpretazione richiede del contesto.
Da febbraio 2024, il progetto Linux è diventato CNA (CVE Numbering Authority) presso MITRE. Ciò significa che il team del kernel può, da solo, assegnare identificatori CVE alle sue correzioni di sicurezza, senza passare attraverso un'entità terza. Risultato diretto: il ritmo di pubblicazione dei CVE è esploso, non perché il kernel sia improvvisamente meno sicuro, ma perché ogni correzione che potrebbe avere un impatto sulla sicurezza riceve ora un CVE, per impostazione predefinita.
È necessario distinguere tre categorie in questa massa di CVE:
La politica CNA del kernel, difesa da Greg Kroah-Hartman, è esplicita: ogni correzione che riguarda la sicurezza è un CVE, e spetta agli utenti (distribuzioni, aziende) filtrare ciò che li riguarda. È un'inversione di responsabilità rispetto all'era "chiamiamo CVE ciò che è già sfruttato" - più onesta intellettualmente, ma che produce questi picchi di numeri.
Il sottotitolo della copertina di The Register dell'affare è esplicito: il picco "alimenta le speculazioni su rapporti di bug assistiti da IA". L'idea circola nelle liste kernel da diversi mesi: la democratizzazione di strumenti che eseguono fuzzing intelligente e analisi statica aumentata da LLM produce rapporti di bug in flusso teso, e una parte di questi rapporti (i veri positivi) finisce in correzioni che, sotto la politica CNA, diventano CVE.
A questo stadio, nulla è stato confermato ufficialmente dal team kernel. Il passaggio alla CNA ampia spiega ampiamente il numero grezzo, senza bisogno di invocare un fattore IA. Ma la domanda merita di essere posta: se domani una parte significativa dei CVE è prodotta da strumenti IA, l'ecosistema deve trattare questi rapporti in modo diverso (canale dedicato, revisione umana obbligatoria prima del CVE, marcatura esplicita nelle descrizioni)? Il dibattito non è risolto.
1. Non fatevi prendere dal panico dal numero grezzo: 432 CVE ≠ 432 macchine da reinstallare. 2. Seguite gli avvisi della VOSTRA distribuzione (Debian DSA, Ubuntu USN, Red Hat RHSA) - filtrano già per voi. 3. Su un desktop grand pubblico: le aggiornamenti automatici settimanali sono sufficienti. 4. Su una flotta critica: valutate CVE per CVE tramite gli strumenti abituali (OpenSCAP, kernel-live-patching) invece di voler correggere tutto in una volta.
Il fondo del soggetto è un vecchio dibattito sulla sicurezza open source: a quale livello di granularità per la divulgazione delle vulnerabilità?
Il vecchio modello ("parliamo solo delle vere vulnerabilità sfruttate") aveva il vantaggio della leggibilità, e il difetto di creare un CVE noise floor artificialmente basso - le aziende credevano che il loro kernel fosse "pulito" mentre decine di bug di sicurezza passavano sotto il radar ogni mese.
Il nuovo modello (CNA ampia) rende la realtà visibile, ma inutilizzabile grezza per la maggior parte delle squadre. La mediazione diventa il lavoro delle distribuzioni e degli strumenti di patch management, non quello dell'utente finale.
Un numero onesto per orientarsi: il nucleo Linux corregge circa 1.800 a 2.500 bug al mese nelle branche stabili. La frazione che riguarda la sicurezza è strutturalmente significativa - il kernel è un mostro di 30+ milioni di righe di C, una buona parte in codice driver poco revisionato. Che la pubblicazione CVE rifletta questa realtà è sano; che dia l'impressione di un incendio non lo è.
Da ricordare
本記事は人工知能により作成され、人間の編集管理のもとで校閲されています。