curl、低・中深刻度の脆弱性報告を公開対応へ移す方針

深刻度が「高」または「重大」の報告は非公開を継続

The Registerによると、curlのメンテナーであるDaniel Stenbergは、膨大な脆弱性報告への対応を受け、受付・処理方法を変更すると説明した。
高深刻度未満と評価された報告は公開で提出することになり、深刻度に迷う研究者は引き続きHackerOne経由で提出して評価を受けられるという。
Stenbergは、公開対応により、より多くの人が報告の評価、修正、助言文書の作成、関連問題の確認に参加できる可能性がある一方、修正前の公開は攻撃者に悪用までの時間を与え得ると認めた。

記事は、これを低深刻度の脆弱性報告を非公開で扱ってきた運用からの変更として説明している。
ただし、深刻度ごとの従来の受付手順すべては詳述していない。

報道によるとcurlは10月26日から、低・中深刻度の脆弱性報告を公開のGitHubリポジトリで扱い、深刻度が「高」または「重大」のケースだけを非公開対応に残す方針だという。

この方針が実施されれば、広く使われるオープンソースのデータ転送ツールで、低深刻度の問題の開示・対応経路が変わる。
最も深刻なケースの非公開対応を維持しつつ、修正前の機密性の一部と引き換えに、報告評価と修正への参加を広げる判断として位置づけられている。