Đang tải bảng tin…
Snyk00 bình luận10 phút đọc
NVD in the AI Era: Multi-Source Vulnerability Intelligence
Tóm tắt bởi AI
NIST thông báo từ tháng 4/2026, NVD sẽ chuyển sang mô hình sàng lọc dựa trên rủi ro thay vì làm giàu CVE toàn diện do khối lượng tăng vọt (từ 18.000 năm 2020 lên 48.000 năm 2025), chủ yếu nhờ nghiên cứu lỗ hổng hỗ trợ AI. Chỉ những CVE trong danh mục KEV của CISA, phần mềm chính phủ liên bang hoặc phần mềm quan trọng theo EO 14028 mới được NIST xử lý đầy đủ, buộc các đội bảo mật phải dựa vào dữ liệu đa nguồn, quy trình AI hỗ trợ xác thực và ánh xạ mức package để tránh điểm mù.
Vì sao nên đọc: Lập trình viên nên đọc bài này để hiểu cách chuyển đổi của NVD từ mô hình phổ quát sang tập trung vào rủi ro, làm thế nào AI và các nguồn đa dạng như KEV của CISA sẽ thay đổi cách phát hiện và xử lý lỗ hổng trong dự án của mình.
Nguồn: https://snyk.io/blog/nvd-multi-source-vulnerability-intelligence. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Đề xuất cho bạn
daniel.haxx.se17 phútAI
a CVE dispute
Daniel Stenberg chia sẻ về lần tranh chấp đầu tiên liên quan đến CVE của dự án curl kể từ khi trở thành CVE Numbering Authority (CNA). Một phóng viên báo cáo lỗi wildcard certificate matching khi hostname có dấu chấm đầu tiên (tên DNS bất hợp pháp), đòi hỏi điều kiện tấn công rất cụ thể. Nhóm curl đã sửa lỗi nhưng từ chối gán CVE vì xếp mức độ nguy hiểm thấp hơn "LOW". Sau khi phóng viên khiếu nại lên MITRE, tổ chức này đã ba lần liên hệ nhưng cuối cùng vào ngày 24/6, MITRE xác nhận quyết định không cấp CVE. Bài viết cũng nhấn mạnh chi phí thực tế của CVEs khi libcurl có ~30 tỷ lượt cài đặt và lý do nhóm không muốn gây xáo trộn không cần thiết trong hệ sinh thái.
Bạn nên đọc bài này để hiểu cách các dự án công cộng như curl xử lý tranh chấp về CVE, từ đó tránh những rủi ro về quản lý thông tin bảo mật và hiệu quả trong việc phát triển phần mềm.
