Embed Notice

Wir brauchen eine Sprache und Prozesse, die Bugs verarbeitet.

Nicht "Security-Bugs."

Sondern alle Bugs, und ihre Schwere und die Mitigationskosten im Kontext UNSERER ORGANISATION kontextualisiert.

"Toll, log4j wurde gefunden und auf einer Konferenz präsentiert." Und ignoriert.
Ein Haufen Minecraft Server gehen runter, Jahre später. Der Bug bekommt eine CVE-Nummer.

Hilft Dir das?

Es beantwortet nicht, ob es Dich betrifft, welche Software es betrifft, wie viele unterschiedlich versionierte Versionen von log4j in diesem Binary sind und was Du statt Subsonic einsetzt, das betroffen ist aber das seit 5 Jahren keine Commits mehr hat.

Software Supply Chain Management hatte geholfen und weitaus früher, weil das schon geklingelt hätte, wenn ein Projekt einschläft, ohne daß Bugs vorliegen.

Nur eine sinnvoll gemanagte Supply Chain kann so was. Aber die ist für alle Bugs.

Oder auch: