CVE Tracker: трекер уязвимостей привлёк внимание Hacker News
На Hacker News появился проект CVE Tracker от 0xosprey.com — инструмент для отслеживания CVE. Пост набрал 9 баллов, но обсуждение пока не началось. Сама страница по ссылке не открылась, поэтому детали реализации и функциональность остаются неясными.
Страница по ссылке не загрузилась, поэтому далее приводится обсуждение на Hacker News.
- philips
Думаю, сложность с этими метриками в том, что GitHub и ядро Linux стали собственными CNA в середине 2024[1] и середине 2025[2]. Это вызвало кучу новой автоматизации и снизило барьеры для фактической подачи CVE.
Как небольшой пример: у меня есть плагин для Obsidian с более чем 20 тыс. загрузок, и он получил CVE на бета-релизе из-за плохого регулярного выражения для путей. Чувствую, что два года назад такого бы никогда не случилось.
Так что, по-моему, планка для выдачи CVE в 2025+ ГОРАЗДО ниже, чем раньше.
[1]: http://www.kroah.com/log/blog/2024/02/13/linux-is-a-cna/
[2]: https://github.blog/security/vulnerability-research/how-to-r...
- tomxor
Я подозревал, что отсутствие фильтра по серьёзности преувеличивает тренд...
Но потом я нашёл это:
https://craci.com/resources/CVE-publication-trends?sev=criti...
Тренд по критическим CVE на самом деле хуже — примерно в 25 раз больше, чем в 2020 году, по сравнению со всеми CVE, которых примерно в 5 раз больше, чем в 2020 году.
- danso
Впечатляет, что количество выданных CVE за последние два года взлетело, учитывая, как сильно DOGE разгромил агентства по кибербезопасности [0]. К сожалению, мы не знаем, насколько огромным с тех пор мог стать бэклог.
[0] https://www.securityweek.com/mitre-signals-potential-cve-pro...
- k2enemy
Круто. Было бы проще интерпретировать с логарифмической шкалой. Для неё есть опция, но клик по ней не меняет график и подвешивает сайт у меня.
- xnx
Другие отметили, что мы думали, будто получим уязвимости в безопасности из-за ИИ-кода, но оказывается, ИИ выявляет уязвимости в десятилетиях человеческого кода.