L’ultima delle cose che da sempre su Mia Mamma Usa Linux cerchiamo di fare è il catastrofismo. Nonostante il portale sia in giro ormai dal 2008, e quindi di “storia informatica” ne abbia vista tanta, non è mai successo di trovarci ad urlare “si salvi chi può!”, e non lo faremo nemmeno questa volta.

La soglia d’attenzione invece – come sempre – suggeriamo di tenerla alta, e nel caso di questa vulnerabilità di cui stiamo parlando c’è qualche ragione per stare allerta.

Pare infatti che da una decina d’anni su tutti i sistemi ci sia una vulnerabilità di tipo RCE (Remote Code Execution) che non prevede autenticazione. È stata scoperta poche settimane fa e verrà rivelata a breve.

Ad innescare la bomba, questo post dai toni profondamente sensazionalistici pubblicato sul sito Thereadreader, e nel frattempo riportato un po’ ovunque, nel quale l’autore spiega le caratteristiche di questo disastro che sta per essere reso pubblico:

• La “full disclosure” avverrà in meno di 2 settimane (come pare sia stato concordato con gli sviluppatori).
• Non è stato ancora assegnato nessun CVE (ma dovrebbero essercene almeno 3, forse 4, idealmente 6).
• Non è stata ancora prodotta alcuna patch funzionante.
• Canonical, Red Hat e altri hanno confermato la gravità (viene allegato uno screenshot dove il peso della vulnerabilità è stato contrassegnato con 9.9).
• Gli sviluppatori stanno ancora discutendo se alcuni dei problemi abbiano o meno un impatto sulla sicurezza.

Certo, a leggere velocemente e senza fiato l’elenco potrebbe subentrare dell’ansia, ma è interessante notare come le ragioni di questi toni catastrofici, a detta dell’autore, stanno nel come gli sviluppatori hanno preso il suo contributo.

Letteralmente questi spiega:

And YES: I LOVE hyping the sh1t out of this stuff because apparently sensationalism is the only language that forces these people to fix.

E SÌ: ADORO esagerare con questa roba perché a quanto pare il sensazionalismo è l’unico linguaggio che costringe queste persone a sistemare le cose.

Quanto altro si sa di tutta questa storia? Poco e niente, poiché a quanto pare “tutto sarà chiaro nel giro di due settimane“.

Quindi, in malora tutte le riflessioni e gli inviti alla sobrietà nel segnalare le vulnerabilità di cui abbiamo costantemente parlato, vedi quei CVE dubbiosi utili solamente a portare gli sviluppatori open-source a dover archiviare i propri progetti GitHub o tutte le segnalazioni anomale che hanno costretto i progetti curl e Linux a diventare delle CNA, ossia CVE Numbering Authority.

Non importano certamente all’autore dello scritto: visto che il contributo e la vulnerabilità non viene presa sul serio, via col sensazionalismo!

Del resto… “I LOVE hyping”, lo dice lui. Andasse male con le CVE, potrebbe concentrarsi sul marketing.