Из 7349 раскрытых Anthropic уязвимостей лишь 217 помечены как исправленные
- За семь месяцев Glasswing выявил 37 966 проблем; публично раскрыты 7 349, из них исправленными помечены 217.
- За последние два месяца Anthropic обнаружила 11 813 новых проблем, но зафиксировала лишь 15 исправлений.
- Из 34 отчётов Anthropic, вручную проверенных проектом curl, 19 отклонили, а 6 сочли неопасными.
Почему это важно: Сопровождающим не хватает людей для проверки отчётов, поэтому Anthropic начала отправлять их без ручного подтверждения.
Исследователи из компании VulnCheck проанализировали достижения проекта Glasswing, созданного компанией Anthropic для выявления уязвимостей и повышения безопасности критически важного ПО. За семь месяцев существования проекта было выявлено 37966 проблем, для 7349 (19.4%) из которых информация уже опубликована публично. Исправленными помечены 217 из публично раскрытых отчётов о проблемах, 1654 признаны дубликатами, 419 отозваны и лишь для 2 проблем выявлено применение в реальных атаках злоумышленников.
Несмотря на то, что число дубликатов и отозванных отчётов в 9.5 раз превышает число исправленных проблем, компания Anthropic заявила об увеличении доли подтверждённых положительных результатов c 90.8% до 94.2%. За два последних месяца компания Anthropic выявила 11813 новых проблем, но за это время зафиксировано лишь 15 исправлений, что демонстрирует увеличение разрыва между обнаружением уязвимостей и их устранением.
Ситуацию усугубляет то, что работа по подтверждению уязвимостей, выявленных в рамках инициативы OSS Scanner, перекладывается на сопровождающих, которые оказываются завалены непроверенными отчётами об ошибках. Из более 29 тысяч выявленных проблем, ручная проверка была проведена только для 6000, а для проверки остальных не хватает людей, поэтому компания начала отправку отчётов без ручного подтверждения.
Проект curl в ходе ручной проверки 34 подобных отчётов об уязвимостях, отклонил 19 и признал неопасными 6 (оставшиеся 9 ещё находятся на этапе проверки).
Если рассматривать 442 отчёта Anthropic, которым присвоены CVE-идентификаторы, то в 50 из них (11.21%) выставлен критический уровень опасности, в 189 (42.38%) — высокий уровень опасности 143 (32%) — средний и лишь в 36 (8.07%) — низкий.
Источник: http://www.opennet.ru/opennews/art.shtml? num=66678
© OpenNet
