Инициатива Lightwell от IBM и Red Hat достигла первой важной вехи в области безопасности. Компании сообщили, что выявили и устранили более 400 ранее неизвестных уязвимостей в широко используемых библиотеках Java.
Это заявление было сделано чуть более чем через четыре месяца после того, как IBM и Red Hat представили Lightwell — инициативу стоимостью 5 миллиардов долларов, направленную на повышение безопасности цепочек поставок программного обеспечения с открытым исходным кодом. На начальном этапе проект был нацелен на объединение анализа уязвимостей, разработки исправлений, тестирования и скоординированного раскрытия информации в масштабах, ориентированных на крупные корпоративные среды.
По данным IBM и Red Hat, в рамках проекта Lightwell было обнаружено, устранено и перенесено более 400 ранее неизвестных ошибок в программном обеспечении промышленного уровня. В последнем заявлении особое внимание уделяется широко используемым Java-библиотекам.
Бэкпорт также является важной частью работы. Вместо того чтобы заставлять организации немедленно переходить на новую версию программного обеспечения для устранения уязвимостей, компания Lightwell адаптирует патчи для старых версий, которые все еще используются в производственных процессах.
По мнению компаний, это становится все более важным, поскольку автономные агенты искусственного интеллекта могут объединить несколько незначительных уязвимостей в одну более серьезную атаку. В таких условиях недостаточно просто обнаружить уязвимое программное обеспечение, если организация не может быстро получить и внедрить совместимое исправление.
Помимо устранения более 400 уязвимостей, IBM и Red Hat также объявили о доступности сервиса Lightwell Clearinghouse.
Сервис предоставляет корпоративным клиентам возможность напрямую сообщать о конкретных зависимостях с открытым исходным кодом или уязвимостях для приоритетного рассмотрения и устранения. Затем инженеры IBM и Red Hat могут оценить проблему, разработать исправление и, при необходимости, перенести его в более старые версии, которые все еще используются.
Инициатива с открытым исходным кодом также остается частью этой модели. IBM и Red Hat заявляют, что исправления, разработанные в рамках Lightwell, возвращаются в соответствующие исходные проекты в соответствии с процедурами ответственного раскрытия информации, что позволяет принести пользу более широкой экосистеме, сохраняя при этом защиту от разглашения, когда это необходимо.
Когда в мае было объявлено о запуске Lightwell, IBM описала его как уровень координации безопасности, объединяющий предприятия, зависящие от программного обеспечения с открытым исходным кодом, с сообществами, которые его поддерживают. Инициатива охватывает не только Java, но и другие технологии, в том числе Linux, Kubernetes, Kafka, Ansible, Terraform, Cassandra, языковые цепочки, фреймворки для искусственного интеллекта и другие широко используемые компоненты с открытым исходным кодом.
Более подробную информацию можно найти в объявлениях Red Hat или IBM.
