IBM o lukach w open source: liczy się realne ryzyko i dotarcie poprawek

IBM w nowym raporcie zaleca, by zespoły bezpieczeństwa oceniały, kiedy wykryta podatność rzeczywiście naraża system, zamiast opierać się wyłącznie na punktacji powagi. Według firmy praktyczne ryzyko zależy od znacznie więcej czynników. Agenci AI potrafią na przykład łączyć kilka luk o niskiej wadze w poważne włamanie. Obrońcy potrzebują kontekstu, by ustalić, które ustalenia tworzą realne narażenie i jakimi ścieżkami może pójść atak.

Drugi wniosek dotyczy dystrybucji poprawek. Przygotowanie poprawki to według IBM tylko część pracy, bo musi ona jeszcze dotrzeć do oprogramowania, które jej potrzebuje.

Kogo dotyczy

Raport opisuje ekosystem open source, w którym wiele komponentów nie przyciąga uwagi specjalistów od bezpieczeństwa. Prowadząc ośrodek wymiany informacji o podatnościach Lightwell, IBM zobaczył rozległy system powiązanych modułów obsługujących sieć, uwierzytelnianie, kryptografię, usługi chmurowe i AI.