IBM und Red Hat beheben über 400 bislang unbekannte Schwachstellen in Java-Bibliotheken mit Lightwell

Schwachstellen nicht nur finden, sondern beheben

Laut IBM und Red Hat reagiert die Arbeit auf ein wachsendes Geschäftsrisiko: Autonome KI-Agenten werden zunehmend in der Lage, mehrere weniger gravierende Softwareschwächen zu einem ernsteren Angriff zu kombinieren. Unter diesen Bedingungen reiche es nach Ansicht der Unternehmen nicht aus, Schwachstellen nur zu identifizieren. Organisationen bräuchten einen praxistauglichen Weg, um Korrekturen für Software, die kritische Anwendungen trägt, zu entwickeln, zu testen und auszurollen.

Die Unternehmen weisen darauf hin, dass viele Sicherheitswerkzeuge zwar mögliche Probleme melden, die Erkennung allein das Risiko aber nicht beseitigt. Korrekturen müssten mit den bereits produktiv laufenden Softwareversionen funktionieren und sich ohne Störung des Geschäftsbetriebs einspielen lassen. Über Lightwell haben Red Hat und IBM nach eigenen Angaben Korrekturen für mehr als 400 bislang unbekannte Fehler in weit verbreiteter, produktionsreifer Software aufgespürt, behoben und auf ältere Versionen zurückportiert.

IBM und Red Hat zufolge zeigen die Ergebnisse, dass selbst ausgereifte Codebasen angesichts sich wandelnder Bedrohungen fortlaufend Aufmerksamkeit brauchen. Deshalb konzentrierten sie ihre Entwicklungsressourcen auf diese grundlegende Software, um das Risiko in Unternehmenssystemen zu senken.

So funktioniert Lightwell

Lightwell baut auf dem Anspruch der Unternehmen auf, Open-Source-Software für das KI-Zeitalter abzusichern. Laut der Ankündigung vereint die Initiative vier Fähigkeiten:

• Open-Source-Entwicklungsexpertise von Red Hat und IBM
• die Beziehungen von Red Hat zur Open-Source-Community
• fortschrittliche KI-gestützte Entwicklungs-Workflows
• die Fähigkeiten von Red Hat für eine sichere Software-Lieferkette sowie die Build-Infrastruktur

Diese Kombination erzeuge versionsspezifische Korrekturen für Open-Source-Abhängigkeiten von Anwendungen in Produktivsystemen, so die Unternehmen. Die Korrekturen werden über gesicherte Repositories bereitgestellt, die sich in die bestehenden IT-Prozesse der Kunden einfügen. Organisationen können damit schwierige oder bislang unbekannte Schwachstellen angehen, ohne ihre aktuellen Sicherheitsscanner, Software-Repositories, Entwicklungs-Pipelines oder Testprozesse auszutauschen.

Über Lightwell Network erhalten IT-Teams Zugang zu verifizierten Patches, können korrigierte Software in ihre bestehenden Workflows einbinden und einen dauerhaften Prozess zum Umgang mit Schwachstellen etablieren.

Lightwell Clearinghouse und Beiträge an Upstream-Projekte

Mit der nun allgemein verfügbaren Lightwell Clearinghouse können Kunden bestimmte Open-Source-Schwachstellen bei IBM und Red Hat zur vorrangigen Prüfung und Behebung einreichen. Die daraus entstehenden Korrekturen lassen sich auf ältere Softwareversionen anwenden, die weiterhin im Einsatz sind.

Außerdem würden passende, über Lightwell entwickelte Korrekturen nach den Regeln der verantwortungsvollen Offenlegung (Responsible Disclosure) an die Upstream-Open-Source-Projekte zurückgegeben, so die Unternehmen. Laut Ankündigung profitiert so das gesamte Open-Source-Ökosystem, während für Teilnehmer der Clearinghouse weiterhin Embargo-Schutz gilt.

Gunnar Hellekson, Vice President und General Manager für Lightwell bei Red Hat, stellte das Tempo in den Mittelpunkt. „KI-Agenten haben die Bedrohungslage über Nacht verändert und nutzen alte Abhängigkeiten mit Maschinengeschwindigkeit aus“, sagte er. Das Auffinden von Fehlern sei „nur die halbe Miete“, die eigentliche Arbeit bestehe darin, Korrekturen direkt in laufende Produktivanwendungen zurückzuportieren, damit Kunden sich nicht zwischen Sicherheit und Verfügbarkeit entscheiden müssten. Mit Blick auf die mehr als 400 Schwachstellen sagte er: „Wir fangen gerade erst an.“

Was das für Unternehmensanwender bedeutet

Für Unternehmen, die auf Open-Source-Java-Bibliotheken angewiesen sind, zeigt die Ankündigung einen Weg auf, Korrekturen in ältere, laufende Softwareversionen zu bringen, ohne ihre Sicherheitswerkzeuge umzubauen. Die Clearinghouse gibt Kunden eine direkte Möglichkeit, vorrangige Aufmerksamkeit für bestimmte Abhängigkeiten anzufordern. Die genannten Zahlen und Fähigkeiten stammen von IBM und Red Hat; die Mitteilung nennt weder die betroffenen Bibliotheken noch Details zu den Preisen.