Chainguard objavljuje prve Athena nalaze i zakrpe za stare verzije
Chainguard u septembru počinje objavljivanje prvih približno 50 nalaza sistema Athena, koji je od juna prikupio više od 40.000 prijava ranjivosti u više od 500 projekata i proizveo preko 2.000 zakrpa. Prva grupa obuhvata takozvane tihe ispravke: propuste koji su već otklonjeni u aktuelnom kodu, ali nikada nisu dobili CVE oznaku, dok se stare verzije i dalje koriste.
Kompanija navodi da je generisanje zakrpe postalo manje usko grlo od odgovornog otkrivanja ranjivosti u velikom obimu. Zato prvi paket nije sastavljen od najtežih nalaza. Propusti poput preautentifikacionog udaljenog izvršavanja koda prolaze kroz Akrites, telo za koordinisano otkrivanje koje je Linux Foundation pokrenuo u junu.
Tihe ispravke postaju vidljive bezbednosnim alatima
Kod tihih ispravki aktivni održavaoci često ne podržavaju stare grane, jer je pravi dugoročni odgovor prelazak na noviju verziju. Istovremeno, bez CVE oznake skeneri i procesi usklađenosti nemaju signal da staro izdanje sadrži problem. Chainguard zato planira da objavi .patch datoteke u javnom repozitorijumu, pod originalnom licencom projekta, bez preuzimanja održavanja ili stvaranja nove distribucije.
Uz zakrpe, kompanija objavljuje savete kroz Chainguard OSV feed, sa određenim pogođenim opsezima verzija i detaljima do nivoa modula, klase i funkcije. Takvi podaci treba da omoguće alatima za analizu dostižnosti da odvoje stvarno izloženi kod od nalaza koji nisu relevantni za konkretnu aplikaciju.
Chainguard je u postupku da postane CVE Numbering Authority za ranjivosti otvorenog koda koje Athena obradi, kada je greška već ispravljena uzvodno bez identifikatora ili kada više nema održavaoca koji bi ga dodelio. Kompanija naglašava da neće dodeljivati oznake ako je održavalac dostupan i projekat ima nadležni CNA. Za svaku prijavu predviđeni su reprodukovan nalaz, odbranjiv opseg verzija, verzije koje se zaista koriste i mogućnost povlačenja zapisa ako održavalac pokaže da procena nije tačna.
Modeli ubrzavaju pronalaženje, a ne i nužno otklanjanje
Chainguard se priključio Anthropicovom programu Project Glasswing i koristi Mythos za proveru softvera koji izrađuje i isporučuje. U jednom radu koji je trajao oko šest sati, sistem je u široko korišćenom projektu potvrdio više od deset ranjivosti, uglavnom preautentifikacionih RCE propusta. Svaki je pre brojanja ponovljen tri puta u čistoj virtuelnoj mašini.
Kompanija sve faze, od razvoja eksploatacije do provere zakrpe, izvršava u mikrovirtuelnim mašinama. Svaki posao dobija hardverski virtuelizovanog gosta, korenski sistem datoteka napravljen od početka, izlazni saobraćaj ograničen na registre paketa i bez unosa pristupnih podataka. Prva nedozvoljena mrežna veza uništava virtuelnu mašinu.
Praktičan zaključak za organizacije
Veći broj otkrivenih propusta može povećati broj upozorenja u skenerima, ali odsustvo ranijeg upozorenja ne znači da je stara verzija bezbedna. Organizacije treba da povežu inventar stvarno korišćenih verzija sa preciznim savetima, procenom dostižnosti pogođenog koda i planom nadogradnje. Zakrpa za staru granu može pomoći kada nadogradnja nije neposredno moguća, ali trajno smanjenje rizika ostaje prelazak na podržane verzije i uređen proces primene ispravki.