Banjir laporan vulnerability yang dibantu LLM telah menggulingkan maintainers dan tim security alike. Sys Admins, SRE, dan tim App Sec menghadapi CVE baru setiap hari yang membutuhkan penilaian dan patching. Dokumen VEX menawarkan cara machine-readable untuk menyatakan apakah suatu produk software benar-benar terpapar pada vulnerability known, memungkinkan triage yang lebih pintar.
Scanning berbasis SBOM sering menandai vulnerability yang sebenarnya tidak dapat dijangkau di code, menciptakan noise. Contoh, program Go sederhana menggunakan golang.org/x/text v0.38.0 menunjukkan dua CVE melalui grype, tetapi tidak satu pun mempengaruhi program karena fungsi vulnerability tidak digunakan. Pembuatan VEX manual memungkinkan tapi tidak scalable dengan ukuran codebase atau perubahan dependensi.
Analisis reachability melalui alat seperti govulncheck menyelesaikan ini dengan menggunakan analisis statik dan database vulnerability Go untuk mengidentifikasi hanya flaw yang dapat dieksploitasi. Dalam sampel, govulncheck melaporkan nol vulnerability di code, meskipun menemukan masalah di dependensi. Pendekatan ini memungkinkan tim patch hanya ketika benar-benar terkena, mengurangi noise dan usaha manual.
Namun, model ini rusak untuk sistem operasi karena lingkungan kompleks dan dinamis di mana reachability statik lebih sulit dijamin. VEX masih menjanjikan, tapi otomasi bergantung pada kemampuan ekosistem untuk menyediakan data exploitability yang presisi dan machine-actionable.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing