Google временно приостановил приём отчётов об уязвимостях в рамках OSS VRP из-за потока недействительных автоматизированных отчётов

Компания Google объявила о временной приостановке приёма отчётов об уязвимостях продуктов в рамках своей программы вознаграждений за уязвимости в открытом исходном коде (Open Source Software Vulnerability Reward Program, OSS VRP). Это решение связано с резким ростом числа недействительных отчётов, поступающих от автоматизированных инструментов. Программа OSS VRP была создана для стимулирования исследователей безопасности к поиску и ответственному раскрытию уязвимостей в открытых проектах, которые Google использует или поддерживает. За обнаружение значимых проблем участники получают денежное вознаграждение. Однако в последнее время программа столкнулась с волной отчётов, сгенерированных автоматическими сканерами и инструментами на базе искусственного интеллекта, которые не содержат реальных уязвимостей.

Подробности

Согласно сообщению SecurityWeek, Google временно прекратил приём отчётов об уязвимостях продуктов через OSS VRP. Точные сроки приостановки не указаны. Причиной названа волна недействительных автоматизированных отчётов — речь идёт о сообщениях, которые формально описывают потенциальные проблемы, но на практике не являются реальными уязвимостями или не соответствуют критериям программы. Подобная ситуация характерна для многих bug bounty-программ последних лет: доступность автоматизированных сканеров и генеративных инструментов привела к тому, что исследователи и просто энтузиасты массово отправляют шаблонные отчёты, которые требуют ручной проверки и отнимают ресурсы у команд безопасности. Google, как и другие крупные вендоры, вынужден балансировать между открытостью программы и защитой от «шума», снижающего эффективность triage-процессов. Стоит отметить, что речь идёт именно о приостановке приёма отчётов об уязвимостях продуктов через OSS VRP, а не о полном закрытии программы. Детали о том, какие именно проекты или категории отчётов затронуты, в исходном сообщении не раскрываются. Информация о конкретных CVE, версиях продуктов или технических условиях эксплуатации в источнике не приводится.

Что делать

Исследователям безопасности, планировавшим отправить отчёты через OSS VRP, следует учесть временную приостановку приёма и воздержаться от массовых автоматизированных отправок. Если вы обнаружили реальную уязвимость в открытом проекте, рекомендуется: - проверить актуальный статус программы OSS VRP на официальных ресурсах Google перед отправкой отчёта; - убедиться, что отчёт содержит воспроизводимые шаги, описание влияния и соответствует критериям программы; - рассмотреть альтернативные каналы ответственного раскрытия — например, напрямую связаться с мейнтейнерами проекта или использовать другие программы bug bounty, если они применимы; - не полагаться на автоматизированные инструменты для генерации отчётов без ручной верификации — такие сообщения с высокой вероятностью будут отклонены. Организациям, использующим открытые компоненты, стоит продолжать отслеживать обновления безопасности от вендоров и мейнтейнеров, поскольку приостановка приёма отчётов не означает отсутствия уязвимостей — она лишь меняет процесс их поступления. Итог: временная приостановка приёма отчётов в OSS VRP отражает общую проблему bug bounty-программ — рост объёма некачественных автоматизированных отчётов. Google, вероятно, пересмотрит процессы фильтрации, чтобы вернуть программу к эффективной работе.

Источник: SecurityWeek