Chainguard раскроет первые 50 скрытых уязвимостей Athena
Chainguard в сентябре начнёт раскрывать первые около 50 уязвимостей, найденных системой Athena. С июня платформа приняла более 40 000 находок в свыше 500 open source-проектах; 42% из них отнесены к критическим или высоким, а для более чем 2 000 уже подготовлены исправления.
Первая партия выбрана намеренно осторожно. Это не наиболее опасные уязвимости, а так называемые silent fixes: дефекты, которые уже исправлены в актуальной ветке проекта, однако для них не выпускали CVE. Старые версии с этой ошибкой продолжают работать у пользователей, но обычные сканеры не сигнализируют о риске.
Патчи для старых версий и новые записи об уязвимостях
Для таких случаев Chainguard планирует публиковать файлы .patch в открытом репозитории под исходной лицензией проекта. Компания подчёркивает, что не собирается становиться сопровождающим активных проектов, создавать форки или призывать собирать ПО из нового пространства имён. Долгосрочным решением остаётся обновление.
Одновременно будут выходить advisory в ленте Chainguard OSV с точными диапазонами затронутых версий и указанием модулей, классов и функций. Исправленные версии должны появляться в Chainguard Libraries одновременно с публикацией advisory для клиентов компании.
Chainguard также оформляет статус CVE Numbering Authority совместно с CISA в рамках инициативы Gold Eagle. Область работы ограничат open source-уязвимостями Athena, уже исправленными upstream без идентификатора, а также случаями, когда у проекта нет сопровождающего и более профильного CNA. Если ошибка есть в актуальной версии и сопровождающий доступен, назначение CVE остаётся за проектом, а Chainguard выступает репортёром.
Модели находят ошибки быстрее процессов раскрытия
Компания присоединилась к Anthropic Project Glasswing и использует систему Mythos для проверки собственного ПО. По описанию Chainguard, один запуск длительностью около шести часов обнаружил более десятка подтверждённых уязвимостей в широко используемом open source-проекте; большинство относилось к удалённому выполнению кода до аутентификации. Каждая находка была воспроизведена трижды в чистой виртуальной машине.
Для запуска и проверки эксплойтов Athena использует microVM с отдельным ядром и файловой системой, собранной с нуля. Исходящие соединения контролируются на уровне гипервизора и разрешены только к реестрам пакетов; запрещённое соединение уничтожает виртуальную машину. Учётные данные в гостевую среду не передаются.
Практический вывод для команд
Публикация таких CVE может увеличить число предупреждений в сканерах, но делает видимыми риски, которые раньше оставались без идентификатора. Для бизнеса это означает необходимость отдельно учитывать устаревшие версии компонентов, уточнять затронутые диапазоны и планировать обновления или временные патчи. Чистый результат сканирования не гарантирует отсутствия уязвимости, если исправление когда-то было внесено без advisory и CVE.