Человек опубликовал 55 уязвимостей за несколько дней. 54 из них не существовало

CVE-2025-6613 выглядел безупречно: критическое переполнение буфера в парсинге JSON в SQLite, внятное техническое описание, высокий CVSS. Заявка прошла первичную проверку и получила критический балл. Когда исследователи JFrog открыли исходники, выяснилось, что уязвимой функции в коде нет вообще, а описанный путь выполнения выдуман от начала до конца.

Дальше JFrog проверил остальные advisory того же GitHub-аккаунта. Из 55 штук 54 оказались полностью сфабрикованными. В единственном оставшемся был настоящий баг, обёрнутый в непроверенные метаданные.

Дыру видно невооружённым глазом: публичная форма MITRE не проверяет личность отправителя, то есть предложить описание уязвимости и свой CVSS может кто угодно. Страховкой раньше работал NIST, но в феврале 2024 года он под завалом заявок фактически поставил глубокий анализ на паузу. Для фона — цифры VulnCheck за первое полугодие: из 1061 уязвимости, найденной «с помощью ИИ», эксплуатация в дикой природе подтверждена ровно у 14. Это 1,3%.

Практический вывод для тех, кто живёт со сканером зависимостей. Критический CVSS больше не повод бросать спринт и патчить баг. Возможно, что и бага-то никакого нет. Прежде чем эскалировать, потратьте пять минут: посмотрите, есть ли в описании ссылка на конкретный коммит или issue, откройте названную функцию в исходниках и проверьте, что она вообще существует, и загляните в трекер проекта — мейнтейнеры фейковые CVE обычно комментируют раньше, чем их успевают отозвать из NVD. У SQLite для этого даже отдельная страница со списком приписанных ему уязвимостей.

https://research.jfrog.com/post/sqlite-critical-cves-or-llm-slops/

#новости #безопасность