Contrast sposta la difesa nel runtime per i Java CVE
Il punto non è una nuova vulnerabilità. È che la finestra tra disclosure e patch resta scoperta troppo a lungo, e Contrast prova a chiuderla dall’interno dell’applicazione, bloccando il tentativo di exploit prima che arrivi alla fase di payload. Così la protezione non dipende più dal riconoscere ogni variante, ma dal fermare le capacità che l’exploit deve usare per riuscire.
Contrast ha annunciato CVE Shield, un microsandbox runtime pensato come compensating control per CVE noti, inizialmente 60 vulnerabilità Java tra cui Log4Shell, Spring4Shell e Apache Commons Collections. Il controllo gira nell’app, monitora il comportamento e blocca azioni come native code execution, remote class loading e scritture arbitrarie di file; se l’exploit cambia forma, il punto di arresto resta lo stesso.
Per i team che gestiscono il rilascio di patch su Java, il messaggio è che il codice vulnerabile può restare in produzione per un periodo, ma non deve per forza restare esposto. La difesa si sposta sul tratto intermedio, quello in cui l’app è ancora viva e la correzione permanente non è stata ancora distribuita.