curl behandelt lichte kwetsbaarheden vanaf 26 oktober in het openbaar

Het curl-project behandelt kwetsbaarheidsmeldingen met een lage of middelmatige ernst vanaf 26 oktober in het openbaar. Alleen meldingen die het project als HIGH of CRITICAL beoordeelt blijven privé. Reden: de stroom meldingen is zo groot geworden dat de onderhouders het niet meer bijbenen.

Naar GitHub in plaats van HackerOne

In een bericht op zijn blog legt hoofdonderhouder Daniel Stenberg uit wat er verandert. Meldingen met ernst LOW of MEDIUM moeten vanaf 26 oktober als issue in de publieke GitHub-repository worden ingediend. Alleen HIGH en CRITICAL blijven in de besloten HackerOne-tracker.

Onderzoekers die twijfelen mogen hun melding nog wel op HackerOne inschieten; curl laat dan weten welke ernst het eraan toekent. "In de afgelopen jaren kon van ruim 90 procent van alle inzendingen snel worden vastgesteld dat ze lager dan HIGH waren", schrijft Stenberg. Wat als LOW of MEDIUM wordt beoordeeld, gaat terug naar de indiener met het verzoek het op GitHub te plaatsen, en wordt op HackerOne als informatief gesloten en openbaar gemaakt.

"We willen niet verdrinken"

Stenberg is er openhartig over waarom dit nodig is. "Deze beleidswijziging komt volledig door de huidige lawine aan kwetsbaarheidsmeldingen die blijft binnenstromen. We zien er geen einde aan en we verwachten niet dat deze vloed de komende maanden afneemt."

En even verder: "We hebben het als project moeilijk, omdat alle belangrijke onderhouders zich belast en overladen voelen en op de rand zitten van wat we kunnen opbrengen. We moeten handelen om te overleven. Dit is onze volgende stap in een overlevingsstrategie. Het is misschien niet onze laatste. We proberen niet te verdrinken." Eerder dit jaar sloot het project al zijn bug bounty-programma, ook omdat door AI gegenereerde inzendingen het securityteam werk bezorgden.

Onzinnige combinaties

Volgens Stenberg komt een duidelijk deel van de meldingen van AI-modellen die vreemde reeksen of combinaties van opties verzinnen die iets onverwachts doen. Dat onverwachte gedrag treedt dan in de praktijk nooit op, of het gebeurt zo consequent dat een applicatie die zoiets zou doen het onmiddellijk zou merken. "We redden geen gebruikers door op die kwesties de CVE-dans te dansen", schrijft hij. "We bezorgen alleen onszelf werk, en een hele wereld die moet handelen."

Hij beschrijft ook een patroon dat met elke release terugkomt: zodra curl een nieuwe set CVE's en bijbehorende fixes aankondigt, gooit een leger onderzoekers die alle door hun modellen en harnassen heen om vergelijkbare fouten of gaten in de fixes te vinden.

Wat het moet opleveren, en wat het kost

Door het proces open te gooien kan volgens Stenberg de hele wereld meedoen: aan het beoordelen van een melding, aan het schrijven van de advisory en aan het uitzoeken wanneer een fout is geïntroduceerd. Hij hoopt vooral op betere controle of een fix daadwerkelijk klopt en of er geen soortgelijk probleem naast blijft liggen. Ook distributies en andere curl-gebruikers kunnen securityfixes eerder volgen.

Het werk per melding wordt er niet minder van, erkent hij, maar de last is zo over meer mensen te verdelen. De prijs is dat aanvallers wat langer de tijd krijgen voordat een fix beschikbaar is. "We beperken deze aanpak om die reden tot lager dan HIGH: deze problemen zijn tenminste niet verschrikkelijk."

Het project overwoog ook alle LOW-meldingen simpelweg af te wijzen, maar dat kan niet: binnen het CVE-programma bestaat een bezwaarprocedure, en als curl zelf geen CVE toekent aan een echte kwetsbaarheid, doet iemand anders dat. The Register tekende daarbij op dat Stenberg wel van plan is meldingen harder af te wijzen wanneer ze geen gebruikers of bestaande applicaties raken.