Claude нашёл 493 проблемы безопасности в 25 проектах с открытым кодом
Изображение: OpenAI
Модели Claude нашли 493 проблемы безопасности в 25 популярных проектах с открытым кодом, сообщила Anthropic. Команда проверяла, какой код без необходимости остаётся доступен потенциальному атакующему.
Один из конфликтов настроек сохранялся в коде 21 год. Параметр, который должен был лишь откладывать проверку клиентского сертификата, полностью отключал её. В сочетании с требованием обязательной проверки это позволяло серверу принимать любых клиентов вместо доверенных. Документация не предупреждала об отключении проверки.
Сильнее всего выделяется находка в OpenSSH. В демоне SSH версии 10.4 Claude нашёл около 4500 строк нового кода постквантовых подписей, к которому клиент без аутентификации мог обратиться по умолчанию, даже если администратор исключил этот алгоритм. Это около 16% кода демона, доступного до аутентификации. Компания передала находку разработчикам вместе с исправлениями, и они вошли в выпуски OpenSSH 10.5 и 10.6. О выходе OpenSSH 10.6 CISOCLUB писал 8 октября.
The Next Web подчёркивает, что это предварительные результаты самой компании, без независимой проверки. По объяснению компании, подход позволяет убрать ненужный код из доступа или ограничить доступ к нему. Он не устраняет неизвестные уязвимости, но затрудняет их эксплуатацию и снижает опасность.
Команда объединила методики в навык для повторного применения в Claude и работает над его добавлением в свой сканер OSS Scanner. Ранее Claude нашёл 271 ошибку в Firefox.
