أعلن دانييل ستينبرغ، maintainer أداة نقل البيانات المفتوحة curl، أن المشروع سيتعامل مع تقارير الثغرات منخفضة ومتوسطة الخطورة عبر مستودع GitHub العام ابتداءً من 26 أكتوبر. يأتي هذا القرار استجابةً لما وصفه بـ«انفجار تقارير الثغرات» التي تُحمّل فريق الأمن عبئًا لا يُحتمل.
الخلفية
خلال السنوات الأخيرة، تم تصنيف أكثر من 90 % من جميع التقارير الواردة على أنها أقل من مستوى HIGH. ومع ذلك، ارتفعت كمية الطلبات إلى حد أدى إلى إغلاق برنامج مكافآت الثغرات (bug bounty) هذا العام بسبب تزايد التقارير التي يولدها الذكاء الاصطناعي.
التغييرات الجديدة
ستُفتح الآن تقارير ذات أولوية منخفضة ومتوسطة للعموم على GitHub، مما يسمح للمجتمع بفحصها، كتابة الإصلاحات، وإصدار النصائح قبل إصدار النسخ الجديدة. ستظل التقارير الحرجة والعالية تُعالج بصورة خاصة لتقليل الوقت المتاح للمهاجمين.
- تقارير أقل من HIGH تُنشر علنًا لتوزيع عبء العمل.
- المجتمع يستطيع المساهمة في تحليل وإصلاح الثغرات.
- المهاجمون يحصلون على وقت أطول لاستغلال الثغرات قبل الإصلاح.
ما يعنيه ذلك للمطورين
برأينا، سيتيح هذا النهج لمطوري التطبيقات الذين يعتمدون على curl فرصة متابعة تقارير الثغرات في الوقت الفعلي عبر GitHub، مما يخفف الحاجة إلى انتظار إصدارات تصحيحية رسمية. ومع ذلك، يجب على الفرق تعزيز عمليات الفحص الداخلي لأن الثغرات الأقل حدة ستظل قابلة للاستغلال لفترة أطول.
في النهاية، خطوة curl العامة تُظهر كيف يمكن لمشاريع المصدر المفتوح أن تتكيف مع ضغط تقارير الأمان المتزايد، خاصةً مع تزايد مساهمات الذكاء الاصطناعي في توليد تقارير غير دقيقة.
المصدر: theregister.com