CVE TrackerがHacker Newsに登場
0xosprey.comが公開したCVE TrackerがHacker Newsで共有された。CVEの追跡を目的としたツールとみられるが、リンク先ページは取得できず、内容の詳細は不明。投稿から間もなくコメントも付いておらず、具体的な機能や評価はまだ明らかになっていない。
HNでの議論
72- philips
これらの指標について厄介なのは、GitHubとLinux Kernelが2024年半ば[1]と2025年半ば[2]にそれぞれ独自のCNAになったことだと思う。これにより多くの新しい自動化が生まれ、実際にCVEを申請する障壁が下がった。
小さなデータポイントとして、私は2万回以上ダウンロードされているObsidianプラグインを持っているが、ベータリリースで不正なパス正規表現が原因でCVEが付与された。これは2年前なら絶対に起こらなかっただろう。
だから、CVEが発行される基準は2025年以降、以前よりもはるかに低くなっていると感じる。
[1]: http://www.kroah.com/log/blog/2024/02/13/linux-is-a-cna/
[2]: https://github.blog/security/vulnerability-research/how-to-r...
- tomxor
重大度フィルターがないことでトレンドが誇張されているのではないかと疑っていた…
しかし、これを見つけた：
https://craci.com/resources/CVE-publication-trends?sev=criti...
クリティカルCVEのトレンドは実際にはもっと悪く、2020年と比べて約25倍だ。全CVEが2020年比で約5倍であるのと比較するとね。
- danso
過去2年間で発行されるCVEの数が急増したのは印象的だ。DOGEがサイバーセキュリティ機関[0]をひどく骨抜きにしたにもかかわらずね。残念ながら、その後どれだけバックログが膨れ上がったかはわからない。
[0] https://www.securityweek.com/mitre-signals-potential-cve-pro...
- k2enemy
いいね。これなら対数スケールの方が解釈しやすいだろう。オプションはあるけど、クリックしてもチャートが変わらず、サイトがフリーズしてしまう。
- xnx
他の人も指摘しているが、AIコードからセキュリティ脆弱性が出てくると思っていたら、実際にはAIが何十年もの人間のコードに潜む脆弱性を発見していることがわかった。