新聞

IBM與Red Hat共同推出的企業開源軟體供應鏈安全服務Lightwell，已在廣泛使用的Java函式庫中找出並修補超過400個先前未知的漏洞，企業仍在使用的舊版函式庫也可獲得修補。兩家公司也正式開放Lightwell Clearinghouse服務，企業可提交特定開源軟體，要求優先檢查及修補。

不少企業應用程式會使用Java開源函式庫來處理常見功能，一旦其中出現漏洞，通常得升級到已修補的新版本，但實際環境未必能立即升級，新版可能改變程式介面或與其他軟體的相容性，企業還得重新修改、測試應用程式。

Red Hat的技術文件顯示，Lightwell會保留原本的軟體版本，只加入對應的安全修補，而且修改範圍僅針對特定漏洞。修補後還會測試是否造成其他功能異常及相容性問題，盡量維持原有程式行為。不過此次公告並未列出涉及哪些Java函式庫，也未公布個別漏洞編號、嚴重程度及受影響版本。

企業可透過Lightwell Network取得修補過的軟體版本，加入既有的開發、測試及部署流程，不需要更換原本使用的漏洞掃描或軟體管理工具。適合公開的修正，官方也會依漏洞揭露程序提交回原本的開源專案。

對於尚未公開，或修正尚未獲原始開源專案接受的漏洞，Lightwell Network也另外提供預先揭露的修補版本，讓具存取資格的會員能提早套用。等漏洞公開並在原始開源專案完成處理後，再轉入一般的修補版本。

此次正式推出的Lightwell Clearinghouse服務則讓企業主動提交正在使用的開源軟體，由IBM與Red Hat優先檢查及處理，包括已使用多年，但仍部署在正式環境中的舊版本。