The Pulse
IBM e Red Hat correggono oltre 400 vulnerabilità nel software open source
IBM e Red Hat affermano che Lightwell ha corretto oltre 400 vulnerabilità finora sconosciute in librerie Java ampiamente utilizzate, portando le correzioni anche su versioni del software già in produzione. Le aziende hanno inoltre annunciat
AI.info Team · Scritto con l’IA ·
Oltre 400 vulnerabilità finora sconosciute sono state corrette attraverso l’iniziativa Lightwell di IBM e Red Hat, hanno dichiarato le aziende il 6 ottobre. Le falle riguardano librerie Java ampiamente utilizzate e il lavoro comprende correzioni portate su versioni del software già in uso in produzione. L’annuncio segna anche la disponibilità generale di Lightwell Clearinghouse, che offre ai clienti aziendali la possibilità di richiedere l’esame prioritario di specifiche vulnerabilità open source.
Correzioni per il software già in produzione
Il backporting consiste nell’applicare una correzione di sicurezza a una versione precedente del software, senza richiedere ai clienti di passare a una versione più recente. Può essere importante per le organizzazioni le cui applicazioni dipendono da librerie meno recenti e i cui aggiornamenti richiedono test approfonditi. IBM e Red Hat affermano che Lightwell sviluppa correzioni specifiche per ciascuna versione e le distribuisce attraverso repository sicuri compatibili con i processi IT già in uso presso i clienti.
Le aziende descrivono Lightwell come una combinazione di competenze ingegneristiche nell’open source, rapporti di Red Hat con le comunità, flussi di lavoro ingegneristici assistiti dall’IA e infrastrutture per una catena di fornitura del software sicura. Affermano che, tramite Lightwell Network, i team possono usare le patch verificate senza sostituire gli strumenti di scansione, i repository, le pipeline di sviluppo o i processi di test già in uso. Secondo le aziende, la rete consente ai team IT di integrare il software corretto nei flussi di lavoro esistenti e di stabilire un processo continuativo per affrontare le vulnerabilità.
Ora è possibile inviare richieste a Clearinghouse
Con la disponibilità generale di Clearinghouse, i clienti aziendali possono sottoporre specifiche vulnerabilità open source a esame e correzione prioritari. IBM e Red Hat affermano che il servizio può produrre correzioni per versioni precedenti del software ancora in uso. L’annuncio non specifica il prezzo, i requisiti di accesso né i tempi di risposta alle richieste.
Le correzioni applicabili sviluppate tramite Lightwell saranno messe a disposizione dei progetti open source originari secondo protocolli di divulgazione responsabile, affermano le aziende. Aggiungono che tali procedure mantengono le tutele relative all’embargo per i partecipanti a Clearinghouse. Questa soluzione è pensata per consentire ai clienti di ricevere correzioni coordinate, offrendo al contempo ai responsabili dei progetti un modo per integrarle.
IBM e Red Hat non indicano quali librerie siano interessate
L’annuncio del 6 ottobre non identifica le librerie Java, non elenca i numeri CVE, non assegna livelli di gravità e non suddivide le oltre 400 vulnerabilità per progetto. Non spiega neppure come siano stati individuati i bug o quante correzioni siano già disponibili per i clienti. Le aziende descrivono i flussi di lavoro assistiti dall’IA come una componente del metodo di Lightwell, ma non attribuiscono le scoperte alla sola IA.
«Gli agenti di IA hanno cambiato lo scenario delle minacce dall’oggi al domani, sfruttando vecchie dipendenze alla velocità delle macchine. A loro non importa se una base di codice ha dieci anni o se è altrimenti considerata stabile, perché basta una piccola crepa per concatenare le fasi di un attacco. Trovare quei bug è solo metà dell’opera: il vero lavoro è portare le correzioni direttamente nelle applicazioni attive in produzione, così che i clienti non debbano scegliere tra sicurezza e continuità del servizio. Individuare e neutralizzare così rapidamente oltre 400 nuove vulnerabilità dimostra quanto velocemente Lightwell possa agire, e siamo solo all’inizio.»
Gunnar Hellekson, vicepresidente e direttore generale di Lightwell, Red Hat
IBM e Red Hat inquadrano l’iniziativa nella possibilità che agenti autonomi di IA combinino diverse debolezze a rischio minore in attacchi più gravi. Il loro comunicato presenta la correzione, e non la sola individuazione, come il problema che Lightwell è progettato per affrontare. Le librerie e le versioni specifiche interessate, così come la disponibilità delle singole correzioni, non sono indicate nell’annuncio.