Проект curl будет сосредоточен на отслеживании наиболее серьезных и критических уязвимостей безопасности в системе отслеживания ошибок HackerOne.

Проект curl вносит изменения в программу раскрытия информации об уязвимостях (Vulnerability Disclosure Program) с 26 октября 2026 года. Начиная с этой даты, разработчики настаивают на том, чтобы сообщения об уязвимостях, классифицированных как "низкий" или "средний" уровень угрозы, подавались только через репозиторий GitHub. Только уязвимости, отнесенные к категориям "высокий" или "критический" уровень риска, будут обрабатываться конфиденциально в системе отслеживания HackerOne.

Разработчик проекта Daniel Stenberg объявил об этом в блоге curl. Однако, разработчики готовы оказать помощь тем, кто сообщает о уязвимостях, но не уверен в их серьезности. Пользователи по-прежнему могут использовать платформу HackerOne, но программисты curl оценивают степень критичности обнаруженных проблем. Если выясняется, что уязвимость представляет лишь незначительную или умеренную угрозу, пользователям предлагается сообщать об ошибках через GitHub. В этом случае, сообщения на платформе HackerOne будут помечены как "информативные" и опубликованы. За последние годы более 90% сообщений были быстро классифицированы как менее серьезные, чем уровень риска "высокий".

curl: Обнаружена лавина сообщений об уязвимостях.

Изменение связано с тем, что проект curl столкнулся с огромным количеством сообщений об уязвимостях. Не предвидится, что эта ситуация изменится в ближайшие месяцы, и участники проекта перегружены. Публикация информации об уязвимостях на Github призвана стимулировать участие общественности и снизить нагрузку на проект.

Существует надежда, что проект получит больше поддержки, чтобы гарантировать, что исправление устранит проблему и все аналогичные уязвимости будут исправлены одновременно, чтобы не оставалось связанных проблем. Как только проект опубликует новую партию уязвимостей (CVE), специалисты в области информационных технологий сейчас используют свои модели искусственного интеллекта для поиска похожих уязвимостей в опубликованных исправлениях. Этот открытый процесс может привести к тому, что аналогичные уязвимости будут обнаружены и исправлены еще до выпуска новых версий программного обеспечения.

Хотя объем работы, связанный с обработкой каждого сообщения об уязвимости, не уменьшится, если эти сообщения будут рассматриваться публично, надеемся, что нагрузка будет распределена более равномерно между большим количеством людей, и это позволит извлечь больше пользы из анализа и документации. Кроме того, благодаря этому дистрибутивы и пользователи curl смогут быстрее узнавать об исправлениях безопасности.

Риск, связанный с публикацией.

Стейнберг считает необоснованными опасения, что исследователи в области информационных технологий могут ошибочно оценивать серьезную и рискованную уязвимость на платформе GitHub как имеющую средний или низкий уровень угрозы. По его словам, практически нет известных случаев, когда специалисты по информационной безопасности недооценивали риск, связанный с какой-либо проблемой. Кроме того, такой риск существовал и ранее.

Новый процесс, к сожалению, дает злоумышленникам немного больше времени для эксплуатации уязвимостей, – признает Стенберг. Это нежелательно, но также является причиной того, что затронуты только уязвимости с уровнем серьезности "высокий" и ниже – по крайней мере, эти проблемы не являются критическими. Также рассматривался вариант полного отказа от сообщений о рисках "низкий". Однако, согласно правилам CVE, существует процедура апелляции, и если curl не присвоит CVE для реальной уязвимости, это сделает кто-то другой.

Стенберг снова жалуется на то, что многие из недавно обнаруженных уязвимостей были выявлены с помощью моделей искусственного интеллекта, которые используют странные последовательности или комбинации параметров, приводящие к неожиданным реакциям. Эти последовательности в реальных условиях практически никогда не используются, либо реакции возникают каждый раз, поэтому приложения, использующие такие методы, сразу же столкнулись бы с этой проблемой. Риск того, что подобные проблемы возникнут в реальной жизни, крайне низок; нет смысла тратить время на разработку исправлений для таких уязвимостей.

Существует практически бесконечное количество способов комбинировать многочисленные возможности библиотеки libcurl, различные протоколы и гибкий API, что может приводить к результатам, которые, возможно, не были четко задокументированы. Искусственный интеллект будет продолжать исследовать все эти комбинации, а вместе со своими разработчиками они будут очень внимательно относиться к каждой незначительной расхождению, рассматривая ее как потенциальную уязвимость. Разработчики просто не смогут продолжать работу в таком темпе, иначе они потеряют рассудок. У них нет ресурсов, человеческих сил или даже желания обрабатывать бесконечный поток сообщений об уязвимостях с такой скоростью. Что-то должно измениться.

Примечательно, что теперь Стенберг говорит не только о проблемах, связанных с искусственным интеллектом. Похоже, что в последнее время появилось больше реальных, хотя и чаще всего незначительных, сообщений об уязвимостях. Еще в мае Стенберг с удовольствием отметил, что система искусственного интеллекта компании Anthropic обнаружила лишь одну значимую уязвимость в программе curl, которая была классифицирована как "низкая" по степени серьезности.

Первоисточник — Heise

Автор оригинала — Dirk Knop