IBM и Red Hat откриха и отстраниха повече от 400 неизвестни досега уязвимости в широко използвани Java библиотеки чрез Lightwell — тяхната програма за инсталиране на корекции за сигурност в софтуер с отворен код, който компаниите вече използват в продукционна среда.
Компаниите, използвати засегнатите библиотеки, са изложени на риск, докато не приложат корекциите за сигурност. Автономните AI агенти вече могат да комбинират няколко незначителни слабости в софтуера в една сериозна атака.
„AI агентите не се интересуват дали кодовата база е на десет години или се счита за стабилна, защото е необходима само една малка пролука, за да се свърже атаката във верига. Намирането на тези грешки е само половината от битката: същинската работа е пренасянето на корекциите (backporting) директно в активните продукционни приложения, така че клиентите да не трябва да избират между сигурността и непрекъснатостта на работата. Намирането и неутрализирането на над 400 нови уязвимости толкова бързо показва колко бързо може да действа Lightwell, а ние тъкмо започваме“, каза Гунар Хелексон, вицепрезидент и генерален мениджър на Lightwell в Red Hat.
Двете компании направиха услугата Lightwell Clearinghouse общодостъпна, позволявайки на корпоративните клиенти да изпращат специфични зависимости с отворен код за приоритетен преглед и отстраняване на уязвимости.
Как корекциите стигат до клиентите
Lightwell пренася корекциите за сигурност към по-стари версии. Това означава, че преписва всяка поправка, за да пасне на по-старата версия на библиотеката, която дадена компания все още използва, така че екипът да може да я приложи, без първо да се налага да обновява целия софтуер.
Корекциите за сигурност пристигат през защитени хранилища, които се свързват с съществуващите скенери, софтуерни хранилища, конвейери за разработка и тестване на клиента. Clearinghouse добавя възможност за заявки: клиентът посочва уязвимост, която го интересува, а Lightwell я преглежда, отстранява я и предоставя корекция за използваната по-стара версия.
Без имена, без CVE номера, без оценки за сериозност
Компаниите не посочват кои библиотеки са засегнати. За 400-те открития няма да намерите CVE номера, оценки за сериозност или времеви рамки.
От Red Hat заявяват, че корекциите, които се прилагат за основните проекти (upstream), се връщат към проектите с отворен код чрез отговорно разкриване, въпреки че участниците в Clearinghouse запазват защитата от ембарго. Така че, ако използвате тези библиотеки и не сте част от програмата, вашата корекция ще дойде от публичното официално издание, когато разкриването на информацията го позволи.