Сегодня хочется рассказать про один интересный инструмент, который, к сожалению, уже толком не поддерживается, но наталкивает и подсвечивает очень важный момент про уязвимости в OpenSource компонентах.

CVE Half-Day Watcher - это инструмент, который, используя информацию из National Vulnerability Database (NVD), идентифицирует недавно опубликованные CVE со ссылками на GitHub, которые еще не имеют выпущенных патчей! Тоесть инструмент демонстрирует возможность злоумышленников автоматизировано находить такие окна/разрывы и использовать для написания эксплоитов для реальных атак. В качестве примера авторы приводят ситуацию с нашумевшим Log4shell.

Так что в полку 1day, 0day пополнение - 0,5day =)

Кто внимательно смотрит наши выступления на конференциях про такое уже точно слышали - вот и публичный инструмент есть. И тот знает что в наше время защищаться только от известных уязвимостей (1day) уже недостаточно.