Інструменти й релізи
JFrog Викриває Пачку Сфабрикованих CVE для SQLite, Згенерованих LLM
3 серпня 2026 р. 4 хв читання
Куратор Oleksandr Kuzmenko, AI Product EngineerОновлено 3 серпня 2026 р.Джерела вказані в кожному матеріалі
За участі AI · перевірено редакторомЯк ми використовуємо AI
Дослідники безпеки виявили, що понад 50 бюлетенів уразливостей GitHub для SQLite були повністю згенерованим ШІ сміттям. Згаданий код, функції та патчі не існували в цільових версіях.
Вплив: Середній
Чому це важливо
Команди безпеки повинні самостійно перевіряти вхідні звіти CVE, щоб уникнути витрачання годин на патрування неіснуючих помилок.
TL;DR
- 01LLM використовуються для масового створення фальшивих звітів CVE.
- 02Завжди перехресно перевіряйте CVE з офіційними сторінками безпеки вендорів.
- 03Конвеєри автоматичного збору вразливостей вразливі до отруєних метаданих.
Ключові факти
- Сфабриковані бюлетені
- 54 з 55 протестованих
- Початковий бал
- 10.0 Critical (згодом знижено до 7.6 High)
Зростання ШІ-Слоп CVE
Нещодавно створений репозиторій GitHub (programmervuln/cveadvisory-) опублікував партію бюлетенів уразливостей SQLite разом з іншими 50+ CVE. NVD позначила їх як критичні, а CISA ADP погодилася. Проте дослідники безпеки JFrog з'ясували, що ці твердження є повністю згенерованим ШІ сміттям.
Ізольований Воркфлоу Тестування
Для перевірки звітів дослідники створили ізольований робочий процес:
- Інспекція вихідного коду: Клонування офіційних репозиторіїв та перевірка тегів (
version-3.41.0,version-3.51.2,version-3.51.3). - Збірка в чистому середовищі: Компіляція релізів усередині ізольованих контейнерів Docker.
- Виконання PoC: Запуск SQL-заступників у скомпільованих бінарних файлах під
ASan. - Аудит метаданих: Оцінка шаблонів CPE у стрічках NVD та GHSA.
Конкретні Знахідки
- CVE-2026-51302: Заявляла про витік пам'яті через
sqlite3ReleaseTempReg(). Дослідження показало, що функція не існувала у версії 3.41. - CVE-2026-51303: Стверджувала про невдале очищення посилань у
ExprListDelete(). - CVE-2026-51296: Повідомляла про помилку у
jsonRemoveFuncу рядках 3555 та 3575 файлуjson.c, який мав лише 2706 рядків.
Що зробити сьогодні
- Перевіряйте всі критичні сповіщення CVE за офіційною історією комітів вендора.
- Не покладайтеся виключно на автоматичні оцінки NVD для рідкісних залежностей.
#SQLite#NVD#CISA#Docker#AddressSanitizer
Джерела