Az IBM és a Red Hat Lightwell kezdeményezése elérte első jelentős biztonsági mérföldkövét: a cégek szerint több mint 400 korábban ismeretlen sebezhetőséget azonosítottak és javítottak széles körben használt Java könyvtárakban.

A bejelentés alig több mint négy hónappal azután érkezett, hogy az IBM és a Red Hat elindította a Lightwellt, egy 5 milliárd dolláros programot a nyílt forráskódú szoftver-ellátási láncok biztonságának megerősítésére. A projekt induláskor azt a célt tűzte ki, hogy nagyvállalati környezetekre fókuszálva egyesítse a sebezhetőségek elemzését, a javítócsomagok fejlesztését, a tesztelést és az összehangolt közzétételt.

Az IBM és a Red Hat tájékoztatása szerint a Lightwell eddig több mint 400 korábban ismeretlen hibát tárt fel, javított és backportolt éles környezetben futó szoftverekben, a mostani bejelentés pedig kifejezetten a széles körben használt Java könyvtárakat emeli ki.

A backportolás a munka egyik kulcseleme. Ahelyett, hogy a szervezeteket azonnali verziófrissítésre kényszerítené egy újabb szoftver-kiadásra a biztonsági javításért, a Lightwell a már élesben futó régebbi verziókra igazítja a javítócsomagokat.

A cégek szerint ez egyre fontosabb, mert az autonóm MI-ügynökök több kisebb gyengeséget is képesek összekapcsolni egy komolyabb támadássá. Ilyen környezetben önmagában az nem elég, ha egy szervezet felismeri, hogy sérülékeny szoftvert használ, ha közben nem tud gyorsan beszerezni és telepíteni egy kompatibilis javítást.

A 400 feletti sebezhetőségi mérföldkő mellett az IBM és a Red Hat bejelentette a Lightwell Clearinghouse általános elérhetőségét is.

A szolgáltatás közvetlen lehetőséget ad a nagyvállalati ügyfeleknek, hogy konkrét nyílt forráskódú függőségeket vagy sebezhetőségeket nyújtsanak be kiemelt vizsgálatra és javításra. Az IBM és a Red Hat mérnökei ezután priorizálják a problémát, elkészítik a javítást, és szükség esetén backportolják a még használt régebbi verziókra.

A kezdeményezés nyílt forráskódú oldala továbbra is a modell része marad. Az IBM és a Red Hat szerint a Lightwell keretében kidolgozott, releváns javításokat visszajuttatják a megfelelő upstream projektekhez a felelős közzétételi eljárások szerint, így a szélesebb ökoszisztéma is profitálhat belőlük, miközben szükség esetén megőrzik az embargóvédelmet.

Amikor májusban bejelentették a Lightwellt, az IBM úgy írta le, mint egy biztonsági koordinációs réteget, amely összeköti a nyílt forráskódú szoftverektől függő vállalatokat azokat karbantartó közösségekkel. A kezdeményezés jóval a Java technológiákon túlmutat: érinti többek között a Linuxot, a Kubernetes-t, a Kafkát, az Ansible-t, a Terraformot, a Cassandrát, a programozási nyelvi toolchaineket, MI frameworköket és más, széles körben használt nyílt forráskódú komponenseket is.

További részletek a Red Hat vagy az IBM bejelentéseiben olvashatók.