Technischer Support
Dokumentation
Anmeldung
Kontakt
Gehen Sie direkt zu einer KI-Zusammenfassung dieses Blogbeitrags 
Ein großer Teil der Software, auf der die Welt läuft, wird in der Freizeit von Einzelpersonen gepflegt. Hinter einer Bibliothek, die schließlich in Tausenden von Produktionssystemen zum Einsatz kommt, stehen möglicherweise nur ein oder zwei Betreuer, die oft unentgeltlich arbeiten und die Arbeit neben ihrem Hauptberuf erledigen. Dieses Modell hat Open Source weit gebracht, aber es stößt genau in dem Moment an seine Grenzen, in dem die Sicherheit am meisten darauf angewiesen ist: wenn eine Sicherheitslücke gemeldet, mit einer CVE-Nummer versehen, koordiniert und unter Zeitdruck offengelegt werden muss.
Die Durchführung eines koordinierten Offenlegungs- und CVE-Zuweisungsprozesses ist mit viel Arbeit verbunden. Dazu gehören die Einstufung von Meldungen, die Reservierung einer Kennung, das Verfassen eines fundierten Berichts, die Koordinierung einer Veröffentlichungssperre und die fristgerechte Veröffentlichung. Bei einem bereits überlasteten Betreuer kann dieser Prozess ins Stocken geraten, und bei Software, deren Lebenszyklus abgelaufen ist, gibt es möglicherweise gar keinen aktiven Prozess mehr. Das Ergebnis ist eine Lücke, die die gesamte nachgelagerte Community auffangen muss: Eine Sicherheitslücke existiert, aber die gemeinsame Referenz, auf die sich alle verlassen, um sie zu verfolgen und zu priorisieren, erscheint verspätet oder gar nicht. Dies ist kein Versagen der Betreuer. Es handelt sich um ein strukturelles Missverhältnis zwischen der weit verbreiteten Nutzung von Open Source und den oft knappen Ressourcen, die dafür zur Verfügung stehen.
TuxCare ist nun in der Lage, einen Teil dieser Last zu übernehmen.
Die Ankündigung
Das CVE-Programm hat TuxCare als CVE-Nummerierungsstelle (CNA) zugelassen. Das bedeutet, dass TuxCare CVE-IDs vergeben und CVE-Einträge für Sicherheitslücken in den von ihm gewarteten und vertriebenen Produkten veröffentlichen kann – darunter Endless Lifecycle Support (ELS) und SecureChain für OSS. Alle Einzelheiten finden Sie in unserer Pressemitteilung.
Was eine Pflegehelferin eigentlich macht
Eine CVE-Nummerierungsstelle ist eine Organisation, die vom CVE-Programm ermächtigt ist, CVE-IDs zu vergeben und die zugehörigen Datensätze innerhalb eines festgelegten Geltungsbereichs zu veröffentlichen. Die CVE-Liste, in die diese Datensätze einfließen, ist eine gemeinsam genutzte Infrastruktur: Scanner, SIEM-Systeme, Threat-Intelligence-Feeds und Herstellerhinweise verwenden alle CVE-IDs als gemeinsame Referenz, um dieselbe Sicherheitslücke zu beschreiben.
Ein CVE-Eintrag gibt nicht das vollständige Bild einer Sicherheitslücke wieder. Er dient lediglich als Koordinationspunkt. Die CNA kann dem Eintrag selbst eine Schweregradbewertung und eine Schwachstellenklassifizierung zuweisen – TuxCare wird dies tun –, während nachgelagerte Systeme wie die National Vulnerability Database weitere Informationen, den Ausnutzungsstatus und Details zur Behebung hinzufügen, die alle auf diese CVE-ID verweisen. Daher ist der Zeitpunkt der Zuweisung und Veröffentlichung der ID entscheidend, denn erst dann können alle nachgelagerten Systeme damit beginnen, das Problem koordiniert zu verfolgen.
Wenn für eine bestimmte Software keine CNA vorhanden ist, muss ein Melder auf die „CNA of Last Resort“ (CNA-LR) des CVE-Programms zurückgreifen. Dieser Weg funktioniert zwar, führt jedoch zu einem zusätzlichen Übergang zwischen denjenigen, die die Sicherheitslücke beheben, und denjenigen, die den Eintrag veröffentlichen – und zusätzliche Übergänge bedeuten zusätzliche Wartezeiten. Bei Software, auf die sich viele Menschen verlassen, ist diese Verzögerung das Problem.
Was ändert sich für die Nutzer dieser Software?
Bei Sicherheitslücken in Produkten, die in den CNA-Umfang von TuxCare fallen, erfolgen die Zuordnung, Dokumentation und Behebung nun im Rahmen eines einzigen koordinierten Prozesses, wobei TuxCare als maßgebliche Quelle fungiert. Eine bestätigte Sicherheitslücke, die in den Geltungsbereich fällt, erhält innerhalb von 24 Stunden nach der Triage, einen veröffentlichten Eintrag sowie einen darauf abgestimmten Patch – ohne dass eine Warteschlange eines Drittanbieters dazwischenkommt.
Software am Ende ihres Lebenszyklus verdient eine besondere Erwähnung. Wenn ein Projekt das Ende seines Lebenszyklus erreicht, wird der Offenlegungsprozess des Betreuers in der Regel eingestellt, doch die Software läuft in der Produktion noch jahrelang weiter. CNAs können Releases am Ende ihres Lebenszyklus in ihren Umfang aufnehmen und ihnen CVEs zuweisen, anstatt sie dem Fallback-Pfad zu überlassen – und genau das tut TuxCare im Rahmen seines ELS-Programms. Für Organisationen, die diese Software noch einsetzen, ist dies der Unterschied zwischen einer nachverfolgten, dokumentierten und durch Patches behebbaren Sicherheitslücke und einer, die unkontrolliert bestehen bleibt.
Wie sich dies in die bestehenden Aktivitäten von TuxCare einfügt
TuxCare stellt bereits Patches für diese Software bereit. SecureChain erstellt neue Versionen und Patches für aktiv gepflegte Open-Source-Pakete in öffentlichen Registern; Endless Lifecycle Support deckt Betriebssysteme, Bibliotheken und Sprach-Laufzeitumgebungen ab, deren Lebenszyklus beendet ist. Beide basieren auf derselben Prämisse: Die Open-Source-Software, auf die sich die Nutzer verlassen, sollte sicher bleiben – unabhängig davon, ob ihre Betreuer noch mit der Entwicklung Schritt halten oder sich bereits anderen Projekten zugewandt haben.
Die Rolle des CNA knüpft direkt daran an. TuxCare stellt den Patch bereits bereit; nun kann das Unternehmen auch den Datensatz für die Sicherheitslücke verwalten, die durch den Patch behoben wird. Die Zuweisung und die Behebung sind nicht mehr zwei voneinander getrennte Schritte, die von zwei verschiedenen Parteien nach unterschiedlichen Zeitplänen abgewickelt werden. Sie werden zu einem einzigen Prozess, der von derselben Organisation koordiniert wird, die bereits für den Patch verantwortlich ist.
Wie geht es weiter?
Der übergeordnete Punkt ist einfach: Open Source treibt die Branche voran, und ein Großteil davon wird von Menschen gepflegt, die sich nie dazu verpflichtet haben, eine Initiative zur Offenlegung von Sicherheitslücken zu betreiben. Ihnen einen Teil dieser Koordinationslast für die von TuxCare unterstützte Software abzunehmen, ist eine kleine strukturelle Lösung für ein strukturelles Problem. Es ist die Art von Beitrag, die zu einer Organisation passt, deren Arbeit schon immer dort ansetzt, wo die Open-Source-Pflege an ihre Grenzen stößt.
