Společnosti IBM a Red Hat 6. října oznámily, že Lightwell, open-source bezpečnostní program, který obě společnosti v květnu financovaly 5 miliardami dolarů, nalezl, opravil a backportoval záplaty pro více než 400 dříve neznámých zranitelností v široce používaných knihovnách Java. Stejné oznámení zpřístupnilo Lightwell Clearinghouse obecně, takže podnikoví zákazníci nyní mohou IBM a Red Hat předložit konkrétní open-source závislost k prioritnímu posouzení a opravě, která se vztahuje na starší verzi, kterou používají v produkčním prostředí.
Společnosti spojují číslo 400 s konkrétní hrozbou: autonomními agenty umělé inteligence, kteří dokáží zřetězit několik slabin s nízkou závažností v různých knihovnách do jednoho vážného útoku. Skenery obvykle označí tyto CVE, aniž by poskytly opravu, která by odpovídala přesné verzi knihovny v produkčním prostředí, což riziko ponechává na místě. Lightwellova odpověď spočívá v tom, že inženýři IBM a Red Hatu chyby najdou, napíší záplaty specifické pro danou verzi a přenesou je zpět do starších verzí závislostí, na kterých podnikové aplikace stále závisí.
„Agenti umělé inteligence přes noc změnili prostředí hrozeb a využívají staré závislosti rychlostí stroje,“ řekl Gunnar Hellekson, viceprezident a generální ředitel Lightwellu ve společnosti Red Hat. „Je jim jedno, jestli je kódová základna stará deset let nebo je jinak považována za stabilní, protože stačí jedna malá trhlina k řetězení útoku. Nalezení těchto chyb je jen polovina úspěchu: skutečnou prací je zpětné portování oprav přímo do aktivních produkčních aplikací, aby si zákazníci nemuseli vybírat mezi zabezpečením a provozuschopností.“
Architektura zpětného portování s podporou umělé inteligence a zveřejňování záplat pro upstream
Lightwell kombinuje open-source inženýrství Red Hat a IBM, vztahy s komunitou Red Hat, pracovní postupy inženýrství s podporou umělé inteligence a zabezpečený dodavatelský řetězec a infrastrukturu sestavení softwaru Red Hat. Výstupem je oprava specifická pro verzi pro nasazenou závislost, dodávaná prostřednictvím zabezpečených repozitářů, které se zapojují do stávajících skenerů zákazníka, repozitářů artefaktů, kanálů CI/CD a testovacích procesů, takže nic v řetězci sestavení nemusí být nahrazováno pro spotřebování opravy.
Program má dvě části zaměřené na zákazníka, počínaje Lightwell Network, kde IT týmy stahují ověřené záplaty a nastavují průběžný proces nápravy. Lightwell Clearinghouse, který je nyní všeobecně dostupný, představuje cestu k požadavku: zákazník pojmenuje zranitelnost nebo závislost open-source projektu, kterou potřebuje řešit, a IBM a Red Hat ji zkontrolují, opraví a vytvoří opravu pro starší verzi, která se stále používá. Pokud se oprava týká upstreamu, je v rámci zodpovědného zveřejňování informací zpětně přispěna do open-source projektu, přičemž pro účastníky Clearinghouse je mezitím uplatněna embargová ochrana.
Dostupnost platformy a doručování do upstreamu
Clearinghouse je nyní k dispozici; IBM a Red Hat nezveřejnily ceny ani neuvedly, které úrovně Lightwellu jej zahrnují. 400 zranitelností je popsáno jako zahrnující široce používané produkční knihovny Java a společnosti tyto knihovny nepojmenovaly ani nezveřejnily identifikátory CVE. Lightwell byl komerčně spuštěn v červenci a partneři na něm začali vytvářet služby, včetně postupu nápravy LTM, o kterém jsme psali v září.
Amazon