🔥 CVE под угрозой: что будет с кибербезопасностью без главного реестра уязвимостей?
🛑 На этой неделе может прекратить работу одна из ключевых инициатив в сфере информационной безопасности — программа Common Vulnerabilities and Exposures (CVE), которая более 25 лет служила основным источником информации о публично известных уязвимостях.
💰 По данным корпорации MITRE, федеральное правительство США решило не продлевать контракт, по которому организация управляла программой. Финансирование на развитие, поддержку и модернизацию CVE, а также связанных инициатив вроде CWE, завершится 16 апреля. Это означает не только остановку обновлений, но и последующее отключение официального сайта.
💾 Доступ к историческим данным останется на GitHub, однако новых записей больше не будет. И это может иметь последствия по всей цепочке реагирования на уязвимости.
📜 С момента запуска в 1999 году CVE стала краеугольным камнем мировой системы кибербезопасности. Её данные ежедневно используют разработчики защитных решений, CERT-команды, госструктуры и критическая инфраструктура.
🗣 Представители MITRE подчеркнули, что несмотря на завершение контракта, они намерены продолжить поддержку программы и ведут переговоры с Министерством внутренней безопасности США. CISA при этом подтвердила прекращение контракта, пообещав минимизировать последствия.
❓ Почему соглашение не было продлено — неизвестно. Представители CISA не стали раскрывать причины и не сообщили, будет ли передача управления другой организации.
⚠️ В письме директор Центра национальной безопасности MITRE Йосри Барсум предупредил: остановка CVE может привести к деградации нац.баз уязвимостей, снижению эффективности обнаружения угроз и ослаблению реакции на инциденты.
😟 Это вызывает беспокойство в отрасли. CVE — основа процессов по управлению уязвимостями, и её исчезновение может стать реальной угрозой национальной безопасности.
🧩 В ответ на это VulnCheck (один из нумераторов CVE) зарезервировал 1000 CVE на 2025 год, чтобы не допустить остановки. Представители Securonix заявили, что прекращение CWE ударит по практике безопасного кодирования и оценке рисков.
🔍 Параллельно стало известно, что CISA также сворачивает финансирование MS-ISAC и Election ISAC — структур, поддерживающих тысячи организаций в вопросах ИБ. Это может указывать на широкие изменения в киберполитике США, пока не объяснённые официально.
🏛 MITRE — одна из самых уважаемых структур в области ИБ. Утрата её роли в CVE — это не просто смена подрядчика, а возможный удар по всей инфраструктуре отслеживания уязвимостей.
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #CyberSecurity #CVE #MITRE #CISA #Vulnerabilities #InfoSec #OpenSource #RiskManagement
🛑 На этой неделе может прекратить работу одна из ключевых инициатив в сфере информационной безопасности — программа Common Vulnerabilities and Exposures (CVE), которая более 25 лет служила основным источником информации о публично известных уязвимостях.
💰 По данным корпорации MITRE, федеральное правительство США решило не продлевать контракт, по которому организация управляла программой. Финансирование на развитие, поддержку и модернизацию CVE, а также связанных инициатив вроде CWE, завершится 16 апреля. Это означает не только остановку обновлений, но и последующее отключение официального сайта.
💾 Доступ к историческим данным останется на GitHub, однако новых записей больше не будет. И это может иметь последствия по всей цепочке реагирования на уязвимости.
📜 С момента запуска в 1999 году CVE стала краеугольным камнем мировой системы кибербезопасности. Её данные ежедневно используют разработчики защитных решений, CERT-команды, госструктуры и критическая инфраструктура.
🗣 Представители MITRE подчеркнули, что несмотря на завершение контракта, они намерены продолжить поддержку программы и ведут переговоры с Министерством внутренней безопасности США. CISA при этом подтвердила прекращение контракта, пообещав минимизировать последствия.
❓ Почему соглашение не было продлено — неизвестно. Представители CISA не стали раскрывать причины и не сообщили, будет ли передача управления другой организации.
⚠️ В письме директор Центра национальной безопасности MITRE Йосри Барсум предупредил: остановка CVE может привести к деградации нац.баз уязвимостей, снижению эффективности обнаружения угроз и ослаблению реакции на инциденты.
😟 Это вызывает беспокойство в отрасли. CVE — основа процессов по управлению уязвимостями, и её исчезновение может стать реальной угрозой национальной безопасности.
🧩 В ответ на это VulnCheck (один из нумераторов CVE) зарезервировал 1000 CVE на 2025 год, чтобы не допустить остановки. Представители Securonix заявили, что прекращение CWE ударит по практике безопасного кодирования и оценке рисков.
🔍 Параллельно стало известно, что CISA также сворачивает финансирование MS-ISAC и Election ISAC — структур, поддерживающих тысячи организаций в вопросах ИБ. Это может указывать на широкие изменения в киберполитике США, пока не объяснённые официально.
🏛 MITRE — одна из самых уважаемых структур в области ИБ. Утрата её роли в CVE — это не просто смена подрядчика, а возможный удар по всей инфраструктуре отслеживания уязвимостей.
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #CyberSecurity #CVE #MITRE #CISA #Vulnerabilities #InfoSec #OpenSource #RiskManagement
🔥 Трансформеры против уязвимостей: как ИИ учится предсказывать последствия атак
Представь ситуацию: у тебя на руках длинный список уязвимостей, каждая из которых может обернуться утечкой данных, потерей доступности или компрометацией доступа. Времени и рук не хватает, чтобы быстро разобрать всё вручную. Было бы здорово, если бы ИИ сам подсказывал, чем именно грозит та или иная уязвимость?
Именно над этим поработали исследователи Bipin Chhetri и Akbar Siami Namin. Они взяли описания уязвимостей из MITRE CWE и попробовали научить модели автоматически определять их последствия. То есть буквально превращать текст про уязвимость в прогноз: что пострадает: конфиденциальность, целостность или доступность.
🔍 Об исследовании
Учёные собрали очищенный датасет из почти 900 записей CWE и выделили пять категорий последствий: Availability, Access Control, Confidentiality, Integrity и «другое». Задача оказалась непростой, т.к. один и тот же баг часто приводит к нескольким эффектам.
Для анализа сравнили разные подходы. С одной стороны — классические нейросети (CNN, LSTM и их комбинации). С другой — современные трансформеры вроде BERT и модель с иерархическим вниманием (HAN).
📊 Результаты экспериментов
BERT буквально разнёс конкурентов: точность предсказаний составила около 97%, а F1-мера — почти 98%. Особенно уверенно он определял уязвимости, влияющие на конфиденциальность.
HAN показал себя хуже — примерно 44% точности. Но у него был плюс: на некоторых классах он ловил нюансы, которые BERT терял.
💡 Где пригодится?
Такой инструмент может автоматически расставлять приоритеты в списке уязвимостей - SOC или баг-трекинг сразу видят, где рискованнее всего.
BERT «чувствует контекст»: различает, когда речь идёт об утечке, а когда — о потере доступности. Это снижает шум в триаже.
Встраивание модели в пайплайн CTI или управление уязвимостями экономит часы рутинного анализа.
⚠️ Ограничения
Датасет небольшой и несбалансированный: например, по метке Integrity качество заметно ниже.
Длинные описания пришлось урезать до 256 токенов — часть информации могла теряться.
И главное — это вспомогательный инструмент. Решения о критичных инцидентах всё равно остаются за человеком.
🔭 Что дальше?
Исследователи предлагают попробовать другие трансформеры (RoBERTa, ALBERT), синтетически расширить датасет и даже объединить BERT с HAN, чтобы сохранить контекст и поймать редкие паттерны.
⚡️ Итог
Современные языковые модели отлично справляются с предсказанием последствий уязвимостей по их описанию. BERT в этом исследовании выдал 97% точности, что делает его мощным кандидатом для автоматизации triage в SOC и системах управления уязвимостями.
🔗 Ссылка на исследование
Stay secure and read SecureTechTalks 📚
#кибербезопасность #vulnerabilities #transformers #BERT #SOC #threatmodeling #cybersecurity
#ИИвбезопасности #uязвимости #SecureTechTalks
Представь ситуацию: у тебя на руках длинный список уязвимостей, каждая из которых может обернуться утечкой данных, потерей доступности или компрометацией доступа. Времени и рук не хватает, чтобы быстро разобрать всё вручную. Было бы здорово, если бы ИИ сам подсказывал, чем именно грозит та или иная уязвимость?
Именно над этим поработали исследователи Bipin Chhetri и Akbar Siami Namin. Они взяли описания уязвимостей из MITRE CWE и попробовали научить модели автоматически определять их последствия. То есть буквально превращать текст про уязвимость в прогноз: что пострадает: конфиденциальность, целостность или доступность.
🔍 Об исследовании
Учёные собрали очищенный датасет из почти 900 записей CWE и выделили пять категорий последствий: Availability, Access Control, Confidentiality, Integrity и «другое». Задача оказалась непростой, т.к. один и тот же баг часто приводит к нескольким эффектам.
Для анализа сравнили разные подходы. С одной стороны — классические нейросети (CNN, LSTM и их комбинации). С другой — современные трансформеры вроде BERT и модель с иерархическим вниманием (HAN).
📊 Результаты экспериментов
BERT буквально разнёс конкурентов: точность предсказаний составила около 97%, а F1-мера — почти 98%. Особенно уверенно он определял уязвимости, влияющие на конфиденциальность.
HAN показал себя хуже — примерно 44% точности. Но у него был плюс: на некоторых классах он ловил нюансы, которые BERT терял.
💡 Где пригодится?
Такой инструмент может автоматически расставлять приоритеты в списке уязвимостей - SOC или баг-трекинг сразу видят, где рискованнее всего.
BERT «чувствует контекст»: различает, когда речь идёт об утечке, а когда — о потере доступности. Это снижает шум в триаже.
Встраивание модели в пайплайн CTI или управление уязвимостями экономит часы рутинного анализа.
⚠️ Ограничения
Датасет небольшой и несбалансированный: например, по метке Integrity качество заметно ниже.
Длинные описания пришлось урезать до 256 токенов — часть информации могла теряться.
И главное — это вспомогательный инструмент. Решения о критичных инцидентах всё равно остаются за человеком.
🔭 Что дальше?
Исследователи предлагают попробовать другие трансформеры (RoBERTa, ALBERT), синтетически расширить датасет и даже объединить BERT с HAN, чтобы сохранить контекст и поймать редкие паттерны.
⚡️ Итог
Современные языковые модели отлично справляются с предсказанием последствий уязвимостей по их описанию. BERT в этом исследовании выдал 97% точности, что делает его мощным кандидатом для автоматизации triage в SOC и системах управления уязвимостями.
🔗 Ссылка на исследование
Stay secure and read SecureTechTalks 📚
#кибербезопасность #vulnerabilities #transformers #BERT #SOC #threatmodeling #cybersecurity
#ИИвбезопасности #uязвимости #SecureTechTalks
🤖🔧 LLM против уязвимостей: почему реальные баги чинятся лучше, чем искусственные
Большое исследование, которое проверяет истории о «самочинящихся» кодерах
Автоматическое исправление уязвимостей мечта индустрии последние двадцать лет. Мы уже пережили эпоху статических анализаторов, десятки попыток построить идеальный Automated Program Repair (APR) и сотни докладов, которые обещали «починку кода одним кликом».
Сегодня у нас бум LLM. Модели генерируют не только стихи, но и создают патчи. В соцсетях уже гуляют скриншоты, где ChatGPT «за секунду» чинит SQLi или XSS.
Тем не мене вопрос остаётся открытым:
Команда исследователей из Luxembourg Institute of Science and Technology решила проверить, что LLM умеют патчить в реальном бою, когда исправления проверяют не глазами разработчика, а Proof-of-Vulnerability (PoV) тестами
🎯 Исследование
Исследование охватило 14 различных LLM, включая модели OpenAI (GPT-3.5, GPT-4, GPT-4o), Meta LLaMA (версии 3.1 и 3.3), DeepSeek R1 Qwen и несколько версий Mistral.
Модели тестировали на двух типах уязвимостей:
🔹 Реальные уязвимости
15 CVE из датасета Vul4J: уязвимый код, PoV-тест, гарантированно воспроизводящий атаку.
🔹 Искусственные уязвимости
41 синтетическая уязвимость, созданная исследователями на базе реальных, с изменениями в коде, но с тем же PoV-фейлом.
Искусственные баги воспроизводили те же ошибки, что и реальные, но выглядели иначе.
🔥 LLM плохо справляются с искусственными уязвимостями
Половина реальных уязвимостей была успешно исправлена хотя бы одной моделью. Однако была исправлена лишь четверть искусственных уязвимостей. LLM не распознавали паттерны искусственных уязвимостей.
Причина проста:
🧠 LLM чинят то, что узнают, а не то, что понимают
Модель не анализирует механику уязвимости, она пытается "вспомнить" похожий патч из обучающих данных.
🧪 Как проходило тестирование
Каждая модель получала строгий промпт:
Далее происходило следующее:
🧩 Исследователи подменяли функцию в реальном проекте.
🧱 Проект пересобирался.
💥 Прогонялся PoV-тест (реальный эксплойт).
🛡 Если PoV больше не мог воспроизвести атаку, то фикс засчитывался.
Если код не компилировался или эксплойт всё ещё работал, то патч считался провальным.
🥇 Кто справился лучше всего
В абсолютных числах:
➖ DeepSeek R1 Qwen 32B исправил 14 уязвимостей
➖ Mistral 8×7B тоже 14 уязвимостей
➖ GPT-4 и GPT-4 Turbo по 9 исправлений
➖ Остальные модели оказались слабее: около 5–6 успешных патчей.
При этом:
❗ Никто не стал «универсальным патчером».
Нет модели, которая стабильно и хорошо чинит всё.
💣 Примеры
✅ Успешный случай: CVE-2013-5960
Ошибка в криптографии (AES/CBC → AES/GCM).
Все модели без исключения смогли заменить режим и настроить correct tag length.
Почему?
Потому что это «шаблонное» исправление, встречающееся в тысячах проектов.
❌ Провальный случай: XXE в Apache Batik
Для полного исправления XXE нужно:
отключить external entities;
обновить зависимость Batik на версию, где этот флаг работает корректно.
Все модели делали только шаг №1.
PoV продолжал считывать содержимое локального файла. Уязвимость оставалась.
Причина:
LLM не может увидеть зависимость, не может проверить билд, не понимает контекст.
🔗 Ссылка на исследование: https://arxiv.org/abs/2511.23408
Stay secure and read SecureTechTalks 📚
#cybersecurity #infosec #LLM #AIsecurity #vulnerabilities #javasecurity #research #securecoding #patching #SecureTechTalks
Большое исследование, которое проверяет истории о «самочинящихся» кодерах
Автоматическое исправление уязвимостей мечта индустрии последние двадцать лет. Мы уже пережили эпоху статических анализаторов, десятки попыток построить идеальный Automated Program Repair (APR) и сотни докладов, которые обещали «починку кода одним кликом».
Сегодня у нас бум LLM. Модели генерируют не только стихи, но и создают патчи. В соцсетях уже гуляют скриншоты, где ChatGPT «за секунду» чинит SQLi или XSS.
Тем не мене вопрос остаётся открытым:
🧩 А насколько эти патчи вообще работают, когда дело доходит до реальных эксплойтов, а не до красивых текстовых примеров?
Команда исследователей из Luxembourg Institute of Science and Technology решила проверить, что LLM умеют патчить в реальном бою, когда исправления проверяют не глазами разработчика, а Proof-of-Vulnerability (PoV) тестами
🎯 Исследование
Исследование охватило 14 различных LLM, включая модели OpenAI (GPT-3.5, GPT-4, GPT-4o), Meta LLaMA (версии 3.1 и 3.3), DeepSeek R1 Qwen и несколько версий Mistral.
Модели тестировали на двух типах уязвимостей:
🔹 Реальные уязвимости
15 CVE из датасета Vul4J: уязвимый код, PoV-тест, гарантированно воспроизводящий атаку.
🔹 Искусственные уязвимости
41 синтетическая уязвимость, созданная исследователями на базе реальных, с изменениями в коде, но с тем же PoV-фейлом.
Искусственные баги воспроизводили те же ошибки, что и реальные, но выглядели иначе.
🔥 LLM плохо справляются с искусственными уязвимостями
Половина реальных уязвимостей была успешно исправлена хотя бы одной моделью. Однако была исправлена лишь четверть искусственных уязвимостей. LLM не распознавали паттерны искусственных уязвимостей.
Причина проста:
🧠 LLM чинят то, что узнают, а не то, что понимают
Модель не анализирует механику уязвимости, она пытается "вспомнить" похожий патч из обучающих данных.
🧪 Как проходило тестирование
Каждая модель получала строгий промпт:
"Исправь уязвимость. Не меняй ничего лишнего. Верни только Java-функцию."
Далее происходило следующее:
🧩 Исследователи подменяли функцию в реальном проекте.
🧱 Проект пересобирался.
💥 Прогонялся PoV-тест (реальный эксплойт).
🛡 Если PoV больше не мог воспроизвести атаку, то фикс засчитывался.
Если код не компилировался или эксплойт всё ещё работал, то патч считался провальным.
🥇 Кто справился лучше всего
В абсолютных числах:
При этом:
❗ Никто не стал «универсальным патчером».
Нет модели, которая стабильно и хорошо чинит всё.
💣 Примеры
✅ Успешный случай: CVE-2013-5960
Ошибка в криптографии (AES/CBC → AES/GCM).
Все модели без исключения смогли заменить режим и настроить correct tag length.
Почему?
Потому что это «шаблонное» исправление, встречающееся в тысячах проектов.
❌ Провальный случай: XXE в Apache Batik
Для полного исправления XXE нужно:
отключить external entities;
обновить зависимость Batik на версию, где этот флаг работает корректно.
Все модели делали только шаг №1.
PoV продолжал считывать содержимое локального файла. Уязвимость оставалась.
Причина:
LLM не может увидеть зависимость, не может проверить билд, не понимает контекст.
🔗 Ссылка на исследование: https://arxiv.org/abs/2511.23408
Stay secure and read SecureTechTalks 📚
#cybersecurity #infosec #LLM #AIsecurity #vulnerabilities #javasecurity #research #securecoding #patching #SecureTechTalks
Please open Telegram to view this post
VIEW IN TELEGRAM
👍1👏1
💣 200 уязвимостей в ядре Linux за 30 дней
Иногда мы слишком верим в зрелость технологий. Если проекту десятки лет и им пользуется весь мир, то кажется, что там уже всё найдено.
За месяц целенаправленного поиска в ядре Linux исследователи обнаружили 200 ошибок. В ядре, Карл!
Ядро это управление памятью, процессами, драйверами, файловыми системами и сетевым стеком. Ошибка на этом уровне является потенциальным LPE, memory corruption или DoS на уровне хоста.
🔎 Большинство проблем нашли в драйверах, редко используемых подсистемах и местах, где код годами не подвергался глубокому аудиту. Это важный момент: уязвимости часто живут не в популярных частях системы, а в «периферии», куда редко смотрят.
🛠 Системный фаззинг и аккуратный анализ быстро дают результат. Вопрос не в том, есть ли баги. Вопрос насколько методично их ищут.
🤖 Фактор Al
Отдельный тревожный тренд автоматизация поиска.
Современные Al-инструменты и агенты способны:
➖ анализировать большие объёмы кода
➖ выявлять подозрительные паттерны работы с памятью
➖ генерировать эффективные fuzzing-стратегии
➖ помогать приоритизировать потенциально опасные участки
Это резко снижает порог входа в исследование сложных систем, что конечно играет в обе стороны, как для злоумышленников, так и для ИБ.
📌 Получается, что регулярные обновления, отключение лишних модулей, снижение привилегий это не паранойя, а необходимость.
🔗 Источник: https://ydinkin.substack.com/p/200-kernel-bugs-in-30-days
Stay secure and read SecureTechTalks 📚
#CyberSecurity #Linux #KernelSecurity #Vulnerabilities #Fuzzing #BlueTeam #SecureTechTalks
Иногда мы слишком верим в зрелость технологий. Если проекту десятки лет и им пользуется весь мир, то кажется, что там уже всё найдено.
За месяц целенаправленного поиска в ядре Linux исследователи обнаружили 200 ошибок. В ядре, Карл!
Ядро это управление памятью, процессами, драйверами, файловыми системами и сетевым стеком. Ошибка на этом уровне является потенциальным LPE, memory corruption или DoS на уровне хоста.
🔎 Большинство проблем нашли в драйверах, редко используемых подсистемах и местах, где код годами не подвергался глубокому аудиту. Это важный момент: уязвимости часто живут не в популярных частях системы, а в «периферии», куда редко смотрят.
🛠 Системный фаззинг и аккуратный анализ быстро дают результат. Вопрос не в том, есть ли баги. Вопрос насколько методично их ищут.
🤖 Фактор Al
Отдельный тревожный тренд автоматизация поиска.
Современные Al-инструменты и агенты способны:
➖ анализировать большие объёмы кода
➖ выявлять подозрительные паттерны работы с памятью
➖ генерировать эффективные fuzzing-стратегии
➖ помогать приоритизировать потенциально опасные участки
Это резко снижает порог входа в исследование сложных систем, что конечно играет в обе стороны, как для злоумышленников, так и для ИБ.
📌 Получается, что регулярные обновления, отключение лишних модулей, снижение привилегий это не паранойя, а необходимость.
🔗 Источник: https://ydinkin.substack.com/p/200-kernel-bugs-in-30-days
Stay secure and read SecureTechTalks 📚
#CyberSecurity #Linux #KernelSecurity #Vulnerabilities #Fuzzing #BlueTeam #SecureTechTalks
👍1