Ein Silent Fix ist eine Sicherheitskorrektur, die in den Quellcode eines Open-Source-Projekts eingepflegt wird, ohne dass eine öffentliche Schwachstellenmeldung (CVE) erfolgt. Die Schwachstelle existiert, der Fix existiert - aber niemand erfährt davon, der nicht aktiv den Quellcode verfolgt.
Studien zeigen: Auf jede registrierte CVE kommen durchschnittlich 4 bis 11 Silent Fixes. Das bedeutet, dass die Mehrheit aller Sicherheitskorrekturen in Open-Source-Projekten nie in einer Schwachstellendatenbank auftaucht.
Silent Fixes haben verschiedene Ursachen -und nicht alle sind böswillig:
Unabhängig von der Motivation: Das Ergebnis ist dasselbe. Sie nutzen eine Version mit einer bekannten Schwachstelle, und Ihr Scanner meldet nichts.
Klassische Schwachstellenscanner -sogenannte SCA-Tools (Software Composition Analysis) -arbeiten nach dem gleichen Prinzip: Sie vergleichen die Versionsnummern in Ihrer SBOM mit einer Datenbank registrierter CVEs. Wenn keine CVE existiert, gibt es aus Sicht des Scanners kein Problem.
Silent Fixes durchlaufen genau dieses Raster. Sie sind im Quellcode sichtbar, aber in keiner Datenbank gelistet. Ein Scanner kann nur finden, was gemeldet wurde.
Das ist der Grund, warum ein "grüner" Scan-Bericht keine Sicherheit bedeutet. Er bedeutet lediglich: Es wurden keine registrierten Schwachstellen gefunden.
Die EU-Gesetzgebung erkennt dieses Problem implizit an:
Ein reiner CVE-Scan erfüllt diese Anforderungen nicht. Er deckt bestenfalls einen Bruchteil der tatsächlichen Sicherheitslage ab.
Wenn Sie sich auf Scanner verlassen, übersehen Sie die Mehrheit der Sicherheitskorrekturen. Ihre SBOM zeigt "keine Schwachstellen" - aber in der Realität nutzen Sie Versionen, für die Fixes existieren, die Sie nie eingespielt haben. Ein Auditor, der den Quellcode eines Projekts prüft, sieht das. Ein Angreifer, der dieselben Quellen durchsucht, auch.
Sie möchten wissen, welche Silent Fixes in Ihrer SBOM schlummern? OTTRIA erkennt, was Scanner übersehen. Fordern Sie eine Analyse an.