curl chuyển lỗ hổng mức thấp sang công khai để đối phó "lũ" báo cáo bảo mật

Nhóm bảo trì công cụ truyền tải dữ liệu mã nguồn mở curl đang quá tải trước làn sóng báo cáo lỗ hổng bảo mật gia tăng. Từ ngày 26/10, các lỗi mức độ thấp và trung bình sẽ được xử lý công khai trên GitHub, chỉ những lỗ hổng mức cao và nghiêm trọng mới được giữ kín. Quyết định này được mô tả là một phần trong "chiến lược sinh tồn" của dự án.

Làn sóng báo cáo không có điểm dừng

Người bảo trì chính của curl, Daniel Stenberg, cho biết dự án đang phải đối mặt với một "trận tuyết lở" các báo cáo lỗ hổng liên tục đổ về. Ông khẳng định chưa thấy dấu hiệu suy giảm và không kỳ vọng dòng báo cáo này sẽ hạ nhiệt trong vài tháng tới.

"Chúng tôi đang chật vật với tư cách một dự án khi tất cả những người bảo trì chủ chốt đều cảm thấy căng thẳng, quá tải và bị đẩy đến giới hạn của khả năng. Chúng tôi phải hành động để tồn tại. Đây là bước tiếp theo trong chiến lược sinh tồn của chúng tôi. Có thể đây chưa phải bước cuối cùng."

Trước đó, Stenberg đã đóng chương trình bug bounty của curl trong năm nay vì số lượng báo cáo do AI tạo ra chồng chất công việc lên nhóm bảo mật. Theo ông, hơn 90% các báo cáo gửi đến trong vài năm qua có thể nhanh chóng được đánh giá là dưới mức HIGH.

Cách thức hoạt động mới

Với chính sách mới, các nhà nghiên cứu bảo mật khi gửi báo cáo lỗ hổng mức thấp và trung bình nên tạo issue trực tiếp trên repository GitHub công khai của curl. Nếu còn phân vân về mức độ nghiêm trọng, họ vẫn có thể gửi qua HackerOne để nhóm bảo trì đánh giá giúp.

Việc xử lý công khai cho phép nhiều người hơn cùng tham gia đánh giá báo cáo, phát triển bản vá, viết khuyến cáo bảo mật và kiểm tra các vấn đề liên quan trước khi phát hành phiên bản mới. Stenberg thừa nhận cách làm này không giảm khối lượng công việc trên mỗi báo cáo, nhưng có thể chia sẻ tải trọng và giúp các bài học, tài liệu thu được trở nên dễ tra cứu hơn.

Đánh đổi giữa minh bạch và rủi ro

Công khai lỗ hổng cũng đồng nghĩa với việc kẻ tấn công có thêm thời gian khai thác lỗi trước khi bản vá xuất hiện. Stenberg thừa nhận điều này đáng tiếc nhưng khó tránh khỏi, và đây là lý do dự án chỉ áp dụng cho các lỗ hổng dưới mức HIGH.

"Ít nhất thì những vấn đề này không quá tồi tệ."

Ông cũng chỉ ra rằng những người dùng AI để săn lỗ hổng thường tạo ra các tổ hợp tùy chọn kỳ lạ, khó xuất hiện trong ứng dụng thực tế, rồi coi những khác biệt nhỏ nhặt là lỗ hổng bảo mật.

Bài học cho cộng đồng mã nguồn mở

Câu chuyện của curl phản ánh một áp lực ngày càng rõ rệt trong thế giới mã nguồn mở: các dự án nhỏ, được duy trì bởi một nhóm ít người, đang phải gánh khối lượng báo cáo bảo mật tăng vọt nhờ sự hỗ trợ của công cụ AI. Stenberg cảnh báo rằng rất ít dự án phần mềm có thể chịu đựng được dòng báo cáo dồn dập kéo dài như vậy.

"Chúng tôi không có băng thông, nhân lực, thậm chí không còn ý chí để xử lý dòng báo cáo lỗ hổng bất tận với tốc độ này. Cần phải có điều gì đó nhường bước."

Đối với người dùng và các đội phát triển tại Việt Nam có sử dụng curl — một thư viện phổ biến trong hầu hết các hệ thống backend và công cụ dòng lệnh — việc theo dõi repository công khai của dự án sẽ trở nên quan trọng hơn, vì thông tin về các lỗi mức thấp giờ đây sẽ xuất hiện sớm và công khai hơn trước.