CVE論争

本記事はcurl/SSH関連のCVE（Common Vulnerabilities and Exposures、公開脆弱性情報）をめぐる異議申し立てについて。curlはダニエル・ステンバーグ氏がメンテナンスする、事実上すべてのOS・デバイスで使われているファイル転送ライブラリ。CVE番号は脆弱性ごとに割り当てられるIDだが、近年は「本質的に脆弱性とは言えないもの」にもCVEが大量発行される問題が起きている（CVE疲れ／CVEナンセンスと呼ばれる）。ステンバーグ氏は特定のSSHホスト鍵検証の挙動をCVEとして登録した動きに対し、設計上の仕様であり脆弱性ではないと反論。curlプロジェクトは以前からCVEの濫発に批判的で、本件もその流れの一例。