Un crescente numero di segnalazioni di vulnerabilità ha portato i manutentori di cURL a rendere pubbliche le casistiche di bassa e media gravità, riservando la gestione privata solo per i problemi di elevata criticità. A partire dal 26 ottobre, gli utenti dovranno inviare i report sui difetti meno gravi direttamente nel repository pubblico su GitHub, come annunciato da Daniel Stenberg, uno dei manutentori di cURL.
Stenberg ha osservato che negli ultimi anni oltre il 90% delle segnalazioni era stato rapidamente classificato come con gravità inferiore rispetto a “ALTA”. Per i ricercatori di sicurezza che hanno dei dubbi, rimane la possibilità di inviare le segnalazioni tramite HackerOne, dove il team di cURL stabilirà il livello di gravità.
Quest’anno, Stenberg aveva già chiuso il programma di bug bounty di cURL a causa di un eccesso di report generati dall’intelligenza artificiale, che avevano sovraccaricato il team di sicurezza. Sebbene avesse riconosciuto che non tutti i report assistiti dall’IA sono problematici, la quantità attuale di lavoro ha reso necessario un cambiamento nel modo di gestire le segnalazioni.
“Questa modifica della politica è stata completamente determinata dall’attuale avalanche di report di vulnerabilità”, ha dichiarato Stenberg. “Continuiamo a ricevere un flusso incessante di segnalazioni e non prevediamo che questa situazione migliori nei prossimi mesi”.
I principali manutentori di cURL si sentono sopraffatti e al limite delle loro capacità. “Dobbiamo agire per sopravvivere. Questo è il nostro prossimo passo in una strategia di sopravvivenza”, ha aggiunto Stenberg. Allegare un trattamento pubblico consente a più persone di valutare i report, sviluppare correzioni, scrivere avvisi e controllare eventuali problemi correlati prima del rilascio delle nuove versioni.
Tuttavia, Stenberg ha ammesso che il trattamento public delle segnalazioni non ridurrà il carico di lavoro per report, ma potrebbe distribuire meglio il lavoro e rendere più facile l’accesso agli insegnamenti e ai documenti prodotti. Questa pratica, limita però le segnalazioni pubbliche ai problemi inferiori a “ALTA”, per evitare che gli attaccanti possano sfruttare le vulnerabilità prima che siano implementate le correzioni.
Stenberg ha sottolineato come gli aggiornamenti generati da ricercatori che utilizzano l’IA presentino combinazioni di opzioni insolite, poco probabili in scenari reali, trattando lievi anomalie come vulnerabilità. “Non possiamo continuare a seguire questo cammino in modo sostenibile. Non abbiamo né le risorse né la volontà di gestire un flusso interminabile di segnalazioni a questo ritmo. Credo che pochi progetti software possano affrontare un volume così elevato di segnalazioni per periodi prolungati”, ha concluso Stenberg.
