Разработчики ядра Linux выявляют 60 уязвимостей в неделю

Разработчики ядра Linux выявляют 60 уязвимостей в неделю

Разработчики ядра Linux выявляют 60 уязвимостей в неделю

Как заявил ответственный за разработку стабильной ветки ядра Linux Грег Кроа-Хартман на проходящем в Гонконге Всекитайском съезде свободного ПО, в среднем команда разработчиков выявляет около 60 общих уязвимостей (CVE) в неделю.

Как напоминает онлайн-издание ZDNet, разработчики Linux взяли на себя обработку CVE в феврале 2024 г., согласно новым регуляторным требованиям, вступившим в силу в Европейском Союзе.

Напомним, они предписывают всем разработчикам, в том числе и проектов с открытым кодом, брать ответственность за фиксацию и исправление известных уязвимостей.

Как заявил Грег Кроа-Хартман, система CVE, несмотря на все ее проблемы, позволяет не только устранить бреши в безопасности, но и улучшить процесс разработки. Также, по его словам, группа разработчиков позаботилась о том, чтобы CVE для Linux назначались только по согласованию.

Грег Кроа-Хартман успокоил собравшихся, поскольку конечные пользователи используют относительно небольшую часть из 38 млн строк, которые содержит текущее ядро Linux. Тогда как, например, ядро Linux, используемое в настольном компьютере или ноутбуке в среднем содержит лишь около 1,5 млн строк, а средний смартфон на Android — не более 4.

Грег Кроа-Хартман процитировал Бена Хоукса, «белого хакера», эксперта по компьютерной безопасности и бывшего менеджера проекта Google Zero:

«CVE не очень хорошо справляется со всеми нюансами экосистемы ядра Linux. Трудно уловить тот факт, что ошибка может быть очень серьезной в одном типе развертывания, несколько важной в другом или вообще не иметь большого значения. И что ошибка может быть везде одновременно».

А Линус Торвальдс назвал проблемы безопасности Linux «просто ошибками».

По оценке старшего редактора ZDNet Стивена Воан-Николса, в среднем на устранение CVE у разработчиков стабильной ветки ядра Linux уходит неделя. Как только исправление выходит, оно включается в еженедельные стабильные выпуски ядра, которые как можно скорее передаются разработчикам ОС на базе Linux. Такой подход гарантирует, что пользователи будут оперативно уведомлены о проблемах безопасности и обновить свои системы.

Недавно мы рассказывали, что такое триаж, или как выжать максимум из отчёта об уязвимости.

Бывшему сотруднику Google грозит 15 лет за кражу секретов ИИ-разработок

Большое жюри суда Северной Каролины утвердило обвинительное заключение по делу 38-летнего Линь-Вэй Дина (Linwei Ding), открытому в связи с кражей у Google более 2000 документов, связанных с разработками в сфере ИИ.

По версии следствия, Дин, проработавший в Google программистом с 2019 года до конца 2023-го, решил создать свой стартап в КНР и даже встречался с потенциальными инвесторами, попросив сослуживца прикрыть свое отсутствие в офисе.

Чтобы не начинать с чистого листа, предприимчивый инженер стал выкачивать данные из сети работодателя — о суперкомпьютерном ЦОД, специально построенном для ИИ, о софте для его управления, ИИ-моделях, приложениях, кастомных чипах.

Исходники он скачивал в Apple Notes на рабочем MacBook, а затем конвертировал их в PDF и под своим Google-аккаунтом выгружал в облако, чтобы замести следы. За две недели до увольнения Дин скачал все украденные секреты на свой персональный компьютер.

Когда пропажу обнаружили, техногигант обратился в суд. Арест подозреваемого в связи с выдвинутыми обвинениями состоялся в марте 2024 года.

Позднее выяснилось, что тот также подал заявку на участие в программе правительства КНР, призванной обеспечить приток в страну специалистов по исследованиям и разработке. Этот факт позволял трактовать кражу секретов Google как промышленный шпионаж в пользу иностранного государства.

В США Дину инкриминируют семь эпизодов хищения коммерческой тайны и семь эпизодов экономического шпионажа. По первой статье ему грозит до 10 лет лишения свободы, по второй — до 15 лет.

RSS: Новости на портале Anti-Malware.ru