Своевременный выход обновлений безопасности в стабильной ветке

[cvefix]

18 июля 2026 вышло обновление 5.2 Alpha 1; в списке изменений:

Quote

HTTP: устранена уязвимость CVE-2026-42533 [NDM-4566]

22 июля 2026 это же исправление дошло до 5.1.2 (preview) (список обновлений только на support.keenetic.com, на форуме список изменений для 5.1.2 не опубликован до сих пор):

Quote

Mitigated the CVE-2026-42533 vulnerability for HTTP protocol. [NDM-4566]

В стабильной ветке на 24 июля 2026: 5.1.1; очевидно с уязвимостью.

 

Просматривая изменения для ветки 5.0 можно заметить, что в 5.0.6 (preview):

Quote

HTTP: устранена уязвимость CVE-2026-1642 в HTTP-прокси [NDM-4267]

в 5.0.7 (preview):

Quote

• Wi-Fi: устранены уязвимости [SYS-1542]
  • CVE-2014-3570
  • CVE-2022-4304

в 5.0.9 (preview):

Quote

HTTP: устранена уязвимость CVE-2026-28753 в службе веб-конфигуратора [NDM-4368]

и только с 5.0.10 (preview → stable) эти исправления дошли до пользователей стабильного канала.

 

Стабильная ветка ждёт исправлений уязвимостей неделю-две; при этом про эти уязвимости все знают, т.к. они светятся в списках изменений предварительных версий. Нельзя ли выпускать срочные обновления, содержащие только исправления безопасности сразу, вместо того чтобы ждать пока комплект новых фич/фиксов не связанных с уязвимостями стабилизируется?

Сокрытие исправлений безопасности из списков изменений предварительных версий не является решением: злоумышленники могут просто сравнить файлы текущего и предыдущего предварительного релиза, и поискать CVE для обновленных компонентов.

[gravy_train]

20 hours ago, cvefix said:

на форуме список изменений для 5.1.2 не опубликован до сих пор):

это не так:
 

Изменено 25 июля пользователем gravy_train

[cvefix]

On 7/25/2026 at 2:17 PM, gravy_train said:

это не так

Я проверял список перед тем как открыть тему: на 24 июля 2026 не было там этого сообщения. Нотариально заверенных скриншотов у меня правда нет; Wayback Machine страницу форума тоже не архивировал.

[hoaxisr]

32 минуты назад, cvefix сказал:

на 24 июля 2026 не было там этого сообщения.

Это вполне объясняется тем, что пост на форуме модераторы создают заранее и скрывают его. А потом делают видимым, поэтому даты поста отличаются от реальной даты, когда его могут увидить форумчане.