Bejelentették az Akrites projektet, amely a kritikus nyílt forráskódú szoftverek sebezhetőségek javításának és nyilvánosságra hozatalának koordinálására jött létre. A projekt a Linux Foundation keretein belül, az Amazon Web Services, Anthropic, Cisco, Ericsson, Google, IBM, Microsoft/GitHub, NVIDIA, OpenAI, RapidFort, Red Hat, Sonatype és Vodafone, valamint a Rust Foundation nevű nonprofit szervezet részvételével valósult meg.
A projekt résztvevői finanszírozást, mérnöki erőforrásokat és számítógépes biztonsági szakértelmet biztosítanak egy közös incidensválasz csapat (SIRT, Security Incident Response Team) létrehozásához. Az újonnan létrehozott csapat az új sebezhetőségek azonosításával, a sebezhetőségekről szóló jelentések elemzésével és felülvizsgálatával, a kockázati szint megerősítésével, a javítások közösen történő kidolgozásával és a nyílt projektek fenntartóival való együttműködéssel, valamint a sebezhetőségek nyilvánosságra hozatalának folyamatának koordinálásával fog foglalkozni. A sebezhetőségek nyilvánosságra hozatalát szinkronizálni fogják a javítások kiadásával a főbb projekteken, disztribúciókon és függő termékeken.
Megjegyzendő, hogy míg korábban az exploitok létrehozásához szakértői tudás és hosszú fejlesztési folyamat szükséges volt, a modern AI-eszközök lehetővé teszik, hogy szakképzetlen támadók néhány óra alatt működő exploitot készítsenek, kihasználva a probléma megoldásához kapcsolódó javítóinformációkat. Ha egy sebezhetőség javítását nyilvánosságra hozatal nélkül adják ki, a felhasználók és a függő projektek fejlesztői figyelmen kívül hagyhatják a frissítést, míg a támadók AI-eszközökkel gyorsan felkészíthetik az exploitokat, hogy kezdhessenek támadni a frissítést elhanyagoló rendszereket.
Ilyen környezetben a probléma gyors megoldása, a javítóanyagok fejlesztése során az információk kiszivárgásának megelőzése, a javítások kiadásával egyidejűleg a sebezhetőségek nyilvánosságra hozatalának és a felhasználók frissítés telepítésének szükségességéről való tájékoztatás fontossá válik. Külön figyelmet fordítanak a kritikus infrastruktúra, fontos szolgáltatások és projektek üzemeltetőinek a sebezhetőségekről történő tájékoztatására, mivel a potenciális támadások blokkolása szempontjából nem csupán a javítóanyagok közzététele, hanem azok gyors alkalmazása is kulcsszerepet játszik.
Ezen kívül a projekt célja a kísérőkről való tehermentesítés, magára vállalva az olyan feladatokat, mint a duplikált problémajelentések kiszűrése, a sebezhetőségek meglétének megerősítése és a javítások fejlesztésében és tesztelésében nyújtott segítség.
Fontos csomagokban található sebezhetőségek esetén, amelyeket aktív kísérők nem támogatnak, az Akrites projekt átveszi a javítások előkészítésének és integrálásának feladatát.
Forrás: opennet.ru
