curlプロジェクト、CVE発行を巡る初の紛争でMITREの審判に勝利
A CVE Dispute
curlプロジェクトはCNA（CVE発行機関）として、報告された脆弱性にCVEを割り当てるかどうかを自ら判断している。今回、報告者がCVE発行を求めてMITREに異議申し立てを行ったが、curl側は「極めて稀な条件下でのみ発生する問題であり、実質的なリスクは低い」としてCVE発行を拒否。MITREもこの判断を支持し、最終的にCVEは発行されなかった。この記事では、判断の背景やCVE発行に伴うエコシステムへのコストについて、curlのメンテナーであるDaniel Stenberg氏が詳しく説明している。
すべてのCVEにはこの大きなコストが伴います。そのコストは私たちにはかからず、私たちが実際に見たり感じたりすることはありませんが、エコシステムへのコストであり、無視すべきではないと思います。
HNでの議論
44- ealready_value
> すべてのCVEには、このように莫大なコストが伴います。それは私たちにはかからず、私たちが実際に見たり感じたりすることはありませんが、エコシステムにかかるコストであり、無視すべきではないと思います。
CVEに対してニュアンスのある見方をしないセキュリティチームがたくさんあることを認識している、この姿勢には本当に感謝しています。例えば、ある時、セキュリティチームが、UbuntuにデフォルトでインストールされていたVMwareサポートパッケージにパッチを当てるよう要求してきましたが、そのCVEは、私たちがEC2で実行しているときにVMware上で実行される必要があるものでした。彼らと議論しても無駄でした。なぜなら、そのCVEが私たちに適用されるかどうかを判断することに興味がなく、単に修正が必要だということだけに焦点を当てていたからです。
セキュリティを担当することになっている多くのチームは、「このCVEは私たちに影響するのか」と問うのではなく、単にパッチ適用の負担を下流や外部に押し付けています。SaaS製品のように更新が簡単で中央展開できる場合には、その負担は困難というよりは煩わしくイライラさせるものです。複雑なデプロイや顧客管理の更新がある場合などには、こうした命令は、すべての軽微なCVEにパッチを当てるという決定を下していないチームに大きな負担を強いることになります。
- Aurornis
この問題と戦いながらMITREに送っていた電子メールのいくつかを見ることができれば、興味深いでしょう。
LLMを使ってコードを書いたりPRを提出したりする人々がいることはよく知られていますが、電子メールなどのコミュニケーションや物理的な書類の提案さえも使って、精力的に問題と戦うためにLLMを使う人々が増えているという問題があります。
今や、機関に対して何かを主張するための労力がゼロに近づくにつれて、より多くの人々が、自分のLLMとハーネスにいくつかの戦いを戦わせるという考えを持つようになっています。彼らにとってはほとんどコストがかからないように感じられますが、個人的な利益の可能性がゼロでないなら、彼らはそれをやります。地方自治体から大学の管理事務所まで、執拗に送り続ける送信者からの要求に圧倒されているという話をよく聞きます。彼らは、与えられる可能性がなくても、何かを求めるのは試す価値があると考えています。
私たちは、以前はほとんどの人が値しないことを主張する労力をかけないという事実に依存していた、多くのコミュニケーションやリクエストシステムを再考する必要があると思います。主張するコストがゼロに近づくと、マシンは彼らのためにゼロでない成功の可能性を得ようとし続けることができます。
- rwmj
現在のインセンティブは本当に悪いです。伝統的に、curlのような重要なプロジェクトに対するCVEに自分の名前が載ることは、コミュニティで一定の名声を持ちます。それを利用して昇給やより良い仕事を得るかもしれません。つまり、お金も確かにその一部でした。
今や多くの人々がLLMにコードを投げて、出てきたものをそのまま「セキュリティ」レポートにコピー＆ペーストしています。
私たちは、私たちのプロジェクトでは、LLMが生成したセキュリティレポートは単に公開リストにコピーすることにしました。誰もがLLMにアクセスできるので、おそらく1つのLLMインスタンスがそれを見つけたなら、LLMのすべてのユーザーがすでに、またはすぐに見つけるでしょう。重要なら修正しますが、シグナルとノイズの比はかなり悪いです。
これは、最終的には、低いところにある問題が見つかって修正されるにつれて、より安全なサービスにつながると思います。しかし、残念ながら、LLMが生成するナンセンスの洪水がすぐに終わるとは思えません。
- woodruffw
このような地獄のような経験は、CVEシステムが両方の良いところを取りたいと思っていることの良い例です。攻撃側に立つときは防御側にとって豊富な情報源であり、防御側に立つときは、単に調整のための不透明なIDであり、基になるレポートの品質や正確さについては何も示唆しません。
- cynicalsecurity
誰かが本当にこれを履歴書に載せたかったんでしょうね。