新聞

開源網路傳輸工具curl專案調整漏洞揭露程序，10月26日起經團隊判定為低或中度風險的漏洞，將改在GitHub Issues公開通報與討論，高風險及重大漏洞則繼續透過HackerOne私下處理。curl主要維護者Daniel Stenberg指出，持續湧入的漏洞報告讓維護團隊難以負荷，希望藉由公開處理分攤工作。

curl除了提供命令列工具，也透過libcurl函式庫供其他軟體傳輸網路資料。原本安全漏洞須先私下通報，由維護團隊確認、修補後再公開，新政策則讓外部開發者參與中低風險漏洞的問題確認、修補檢查及安全公告撰寫。研究人員若不確定漏洞嚴重程度，仍可先提交HackerOne，要是curl判定為低或中度風險，便會要求改在GitHub提出，原本的HackerOne通報會註記為資訊性案件後結案，並公開內容。

Daniel Stenberg表示，過去幾年收到的通報，超過九成可迅速判定未達高風險，但逐件檢查仍耗費大量人力。近來不少漏洞是研究人員利用AI模型測試libcurl各種選項、網路協定及操作順序後找出。有些異常只在實務上極少使用的操作組合下出現，另一些則是每次採用相關操作組合都會出現異常，開發者容易察覺，他認為，這類問題實際影響使用者的機會很低。

公開討論可讓更多人協助檢查修補程式是否完整，找出相似漏洞。curl公布CVE及修補程式後，常有研究人員利用AI追查相似缺陷或修補遺漏，若在新版發布前就展開公開審查，可能更早發現問題，也讓Linux發行版及其他使用curl的專案提早掌握修補進度。

提前公開尚未修補的漏洞，也可能讓攻擊者有更長時間加以利用，因此curl將公開處理限制在中低風險案件。專案今年1月底終止漏洞獎勵計畫，3月恢復透過HackerOne接受通報，但沒有恢復獎金，如今則改以漏洞嚴重程度決定公開或私下處理。