独占：FoxIOの研究者は、5月に報告したサーバーをクラッシュさせるHTTP/3の脆弱性についてBunが一切回答しなかったと述べる
Sébastien FéryはRuntimeWireに対し、FoxIOがBunのセキュリティポリシーにあるチャネルを通じて脆弱性を報告したが、「連絡はなかった」と語った。Bunは木曜日、FoxIOやその報告に言及していないリリースでHTTP/3のセキュリティ修正を公開した。
By Emerson Redding · Published · Updated
Primary source: github.com
なぜ重要なのか
Féryは、Bunのセキュリティプロセスが最初の段階で失敗したと述べている: 公表された「5日以内の受領確認」の約束は、報告が数か月間無応答のまま放置される場合にはほとんど保護にならない。10月のリリースには関連するHTTP/3の制限が追加された。
あるセキュリティ研究者は、約0.5メガバイトのトラフィックでBunのウェブサーバをオフラインにできる方法を発見した自身の企業が、5か月前にFoxIOが欠陥を報告した際にJavaScriptランタイムのチームからは一切返信がなかったと述べています。
「We contacted Bun via the channel advertised in their SECURITY.md. We never heard back.」と、セキュリティ企業FoxIOの研究者Sébastien Féryは木曜朝にRuntimeWireへ電子メールで語りました。
FoxIOはこの問題をBunに5月24日に報告したと述べています。2025年7月以降変更されていないGitHub上のBunのセキュリティポリシーは研究者に対して[email protected]にメールを送るよう指示しています。同ポリシーは報告が5日以内に受領確認され、「セキュリティチームは修正と完全な発表に向けて進捗をお知らせするよう努めます」と記載しています。
FoxIOの公開レポート（10月20日公開）は開示タイムラインに5月24日のBunへの報告を記載していますが、Bunが返信したかどうかは書かれていません。FéryのRuntimeWireへのコメントはその答えになっています：返信はありませんでした。…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.