Інструменти й релізиВплив: Середній
Oleksandr Kuzmenko, РедакторОпубліковано 4 хв читанняЗа участі AI · перевірено редактором
TL;DR
- LLM використовуються для масового створення фальшивих звітів CVE.
- Завжди перехресно перевіряйте CVE з офіційними сторінками безпеки вендорів.
- Конвеєри автоматичного збору вразливостей вразливі до отруєних метаданих.
Ключові факти
- Сфабриковані бюлетені
- 54 з 55 протестованих
- Початковий бал
- 10.0 Critical (згодом знижено до 7.6 High)
Зростання ШІ-Слоп CVE
Нещодавно створений репозиторій GitHub (programmervuln/cveadvisory-) опублікував партію бюлетенів уразливостей SQLite разом з іншими 50+ CVE. NVD позначила їх як критичні, а CISA ADP погодилася. Проте дослідники безпеки JFrog з'ясували, що ці твердження є повністю згенерованим ШІ сміттям.
Ізольований Воркфлоу Тестування
Для перевірки звітів дослідники створили ізольований робочий процес:
- Інспекція вихідного коду: Клонування офіційних репозиторіїв та перевірка тегів (
version-3.41.0,version-3.51.2,version-3.51.3). - Збірка в чистому середовищі: Компіляція релізів усередині ізольованих контейнерів Docker.
- Виконання PoC: Запуск SQL-заступників у скомпільованих бінарних файлах під
ASan. - Аудит метаданих: Оцінка шаблонів CPE у стрічках NVD та GHSA.
Конкретні Знахідки
- CVE-2026-51302: Заявляла про витік пам'яті через
sqlite3ReleaseTempReg(). Дослідження показало, що функція не існувала у версії 3.41. - CVE-2026-51303: Стверджувала про невдале очищення посилань у
ExprListDelete(). - CVE-2026-51296: Повідомляла про помилку у
jsonRemoveFuncу рядках 3555 та 3575 файлуjson.c, який мав лише 2706 рядків.
Що зробити сьогодні
- Перевіряйте всі критичні сповіщення CVE за офіційною історією комітів вендора.
- Не покладайтеся виключно на автоматичні оцінки NVD для рідкісних залежностей.
Назви кроків узяті з блоку «Що зробити сьогодні».
Назви кроків узяті з блоку «Що зробити сьогодні». Перевіряйте всі критичні сповіщення CVE за офіційною історією комітів вендора.. Не покладайтеся виключно на автоматичні оцінки NVD для рідкісних залежностей.
- Перевіряйте всі критичні сповіщення CVE за офіційною історією комітів вендора.
- Не покладайтеся виключно на автоматичні оцінки NVD для рідкісних залежностей.
#SQLite#NVD#CISA#Docker#AddressSanitizer