GNOME verkürzt die Frist für die Offenlegung von Sicherheitslücken von 90 auf 30 Tage

GNOME wird die Frist für die Offenlegung von Sicherheitslücken ab dem 1. August auf 30 Tage verkürzen und begründet dies mit der steigenden Zahl von durch KI generierten Sicherheitsberichten.
Eine Übersetzung von 🇬🇧 Linuxiac.com

Als Reaktion auf die zunehmende Zahl von durch KI generierten Meldungen verkürzt GNOME die Frist für die Offenlegung von Sicherheitslücken von 90 auf 30 Tage.

Die neue Frist gilt für Sicherheitsprobleme, die am oder nach dem 1. August 2026 gemeldet werden. Bislang behandelte GNOME Sicherheitsberichte bis zu 90 Tage lang vertraulich, um den Betreuern Zeit zu geben, vor der öffentlichen Bekanntgabe Korrekturen vorzubereiten und zu veröffentlichen.

Der GNOME-Sicherheitskoordinator Michael Catanzaro stellt jedoch fest, dass sich der längere Zeitraum als unwirksam erwiesen hat. In der Regel beheben die Betreuer Sicherheitslücken innerhalb von ein bis drei Wochen oder gar nicht, bevor die 90-Tage-Frist abläuft.

GNOME hat den von einigen Open-Source-Projekten verfolgten Ansatz, Meldungen, bei denen der Verdacht besteht, dass sie von KI generiert wurden, sofort offenzulegen, in Betracht gezogen, aber letztendlich verworfen. Catanzaro erklärt, dass dies einen unangemessenen Druck auf die Betreuer ausüben würde und nicht mit dem Entwicklungsmodell von GNOME vereinbar ist.

Stattdessen wird GNOME als Kompromiss eine Frist von 30 Tagen einführen, um den Betreuern Zeit zu geben, Sicherheitslücken zu beheben, und gleichzeitig unnötige Geheimhaltung zu vermeiden. Berichte werden früher veröffentlicht, sobald ein Fix fertiggestellt ist, und gegebenenfalls wird eine CVE beantragt.

Das aktualisierte Verfahren gilt für alle Sicherheitslückenberichte, unabhängig davon, ob sie KI-generierte Inhalte enthalten. Catanzaro merkt an, dass Melder den Einsatz von KI selten offenlegen und dass das manuelle Identifizieren von KI-gestützten Berichten den Prozess verkomplizieren würde. Er stellt zudem fest, dass Meldungen, die ohne KI-Unterstützung entdeckt werden, mittlerweile selten sind.

Darüber hinaus überarbeitet GNOME seinen Umgang mit Meldungen, die Projekte betreffen, welche KI-generierte Einreichungen verbieten. Da die meisten Sicherheitslücken-Meldungen mittlerweile KI-generierte Inhalte enthalten, wird GNOME diese Meldungen nicht mehr direkt an die Issue-Tracker dieser Projekte weiterleiten.

Stattdessen werden solche Meldungen im zentralen GNOME-Sicherheits-Tracker geschlossen, und die zuständigen Betreuer werden über deren Existenz informiert. Projekte, die diese Meldungen direkt erhalten möchten, werden dazu aufgefordert, eine Ausnahme für Sicherheitslücken in ihre Richtlinien zu KI-Inhalten aufzunehmen.

Etwas überraschend ist, dass Catanzaro, der seit November 2020 mit Unterstützung von Red Hat das Sicherheits-Tracking verwaltet, am 1. November 2026 die Erfassung neuer Sicherheitsprobleme einstellen wird. Im Laufe des Novembers wird er sich ausschließlich um Fälle kümmern, die vor diesem Datum eingereicht wurden, wobei er davon ausgeht, dass alle Offenlegungsfristen bis zum 1. Dezember abgelaufen sein werden.

Derzeit übernimmt niemand sonst diese Aufgabe für GNOME. Das Projekt sucht ein erfahrenes Community-Mitglied, das diese Aufgaben übernimmt. Dazu gehören die Überwachung gemeldeter Probleme, die Verfolgung ihres Status, die Veröffentlichung bei Erreichen von Fristen sowie die Beantragung von CVEs, falls erforderlich.

Weitere Einzelheiten finden Sie in Catanzaros Beitrag in den GNOME-Blogs.

Spendieren Sie Bobby einen ☕ Ko-fi

Ein Service von s3n🧩net