DKWSLabs

den

Продавец программного обеспечения с открытым кодом будет уведомлять заказчиков, когда им следует опасаться уязвимостей, а когда — нет.
Компания Red Hat объявила новую инициативу, которая позволит участникам индустрии программного обеспечения официально и публично комментировать уязвимости, которые могут повлиять на их ПО.
Служба вступила в строй в четверг в рамках проекта базы данных National Vulnerability Database (NVD) Национального института стандартов и технологии (NIST), где содержится информация об уязвимостях правительства США. Эта служба позволит поставщикам, продающим разные дистрибутивы одного и того же ПО, оповещать людей в режиме реального времени, следует ли им опасаться тех или иных эксплойтов.
Директор службы реагирования Red Hat Марк Кокс (Mark Cox) выступил с этой идеей после того, как 21 августа обнаружилась ошибка, открывающая путь для несанкционированного доступа в память Apache. Другие дистрибьюторы Linux выпустили рекомендации к своим версиям Apache, однако на версию ПО от Red Hat эта уязвимость не влияет.
Red Hat обратилась в NIST с идеей использования NVD для создания официальной службы оповещения на базе стандарта Common Vulnerabilities and Exposures (CVE). В отличие от других служб, которые сообщают об уязвимостях, эта новая схема будет информировать людей и о том, опасна ли для них данная ошибка в ПО.
После проверки своей идеи в режиме тестирования в течение двух недель Red Hat обратилась с предложением к другим вендорам, включая Mandriva, SUSE, HP и IBM. Mandriva, по словам Кокса, уже согласилась участвовать.
«Это полезно для ПО, поставляемого многими компаниями, хотя и Microsoft тоже не исключается. Мы и другие дистрибьюторы вводим в свое ПО все больше технологий безопасности, таких как SELinux и ExecShield, поэтому важно объяснять людям, относятся ли к нам те или иные проблемы», — сказал Кокс.
Red Hat намерена продолжать возглавлять эту инициативу, призывая других поставщиков ПО присоединиться к ней. «Для нас это полезно, даже если больше никто не станет участвовать, но чем больше поставщиков присоединится, тем лучше будет для конечного пользователя», — добавил Кокс.