Informes falsos de vulnerabilidades CVE de IA exponen fallos del sistema.

La aparición de vulnerabilidades fabricadas

Recientemente, las bases de datos de vulnerabilidades recibieron informes sobre fallos críticos en SQLite. Estas vulnerabilidades ficticias presentaban puntuaciones de gravedad que alcanzaban un asombroso 9,8. Sin embargo, inspecciones rigurosas del código fuente no lograron corroborar ni un solo defecto alegado. Además, los investigadores descubrieron funciones inexistentes y números de línea imposibles en los informes. Los ejemplos de explotación proporcionados no provocaron ni fallos del sistema ni fugas de memoria. JFrog publicó posteriormente estos sorprendentes resultados de la investigación el 30 de julio.

Seis entradas específicas de SQLite pertenecían a una colección más amplia de 55 avisos. Un nuevo y poco conocido repositorio de GitHub albergaba esta dudosa compilación. En consecuencia, estos datos fabricados se infiltraron en la Base de Datos Nacional de Vulnerabilidades (NVD) de Estados Unidos. La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) añadió entonces sus propias métricas de gravedad. Estos registros recibieron puntuaciones CVSS que oscilaban entre 7,5 y 9,8. En definitiva, se hicieron pasar perfectamente por advertencias sobre fallos graves en la gestión de memoria.