Google نے اوپن سورس بگ رپورٹس روک دیں—سپلائی چین کیس اب بھی قبول ہوگا

Google کے OSS VRP قواعد کے مطابق یکم اکتوبر ۲۰۲۶ سے اوپن سورس منصوبوں کی نئی پروڈکٹ خامیاں اس پروگرام میں جمع نہیں کرائی جا سکتیں؛ سپلائی چین کی رپورٹس اور پہلے سے جمع کیس متاثر نہیں ہوئے۔ یہ عارضی وقفہ نئی رپورٹ کی ایک قسم سے متعلق ہے، پورے اوپن سورس انعامی پروگرام کے خاتمے سے نہیں۔ Google نے اس حصے کی آئندہ صورت کے بارے میں ۲۰۲۷ کی پہلی سہ ماہی میں اطلاع دینے کا وعدہ کیا ہے، لیکن نئی پروڈکٹ رپورٹس دوبارہ قبول کرنے کی تاریخ نہیں دی۔

یکم اکتوبر ۲۰۲۶ سے نافذ اس تبدیلی پر BleepingComputer کی رپورٹ میں نقل کیے گئے Google کے بیان کے مطابق خودکار رپورٹس میں نمایاں اضافہ ہوا ہے، جن کی “the vast majority of which are not valid”۔ یعنی کمپنی کے بقول ان کی غالب اکثریت درست نہیں نکلتی۔ محقق کے لیے فوری سوال اب یہ ہے کہ دریافت پروڈکٹ کے کوڈ میں خامی ہے، منصوبے کی سپلائی چین کو متاثر کرتی ہے، یا کسی دوسرے Google انعامی پروگرام کے دائرے میں آتی ہے۔

اب کون سی رپورٹ کہاں جائے گی؟

فیصلہ صرف اس بنیاد پر نہیں ہو سکتا کہ متاثرہ کوڈ Google کی کسی اوپن سورس ریپوزٹری میں موجود ہے۔ رپورٹ کی نوعیت اور متاثر ہونے والی مصنوعات دونوں اہم ہیں۔ موجودہ صورت حال میں متعلقہ راستے یہ ہیں:

• نئی پروڈکٹ خامی: منصوبے کے کوڈ، ڈیزائن یا نفاذ میں ایسی نئی خامی جو اس سے بننے والے سافٹ ویئر کی سلامتی کو متاثر کرتی ہو، فی الحال OSS VRP میں قبول نہیں ہو رہی۔ منصوبے کا پہلے پروگرام میں شامل ہونا اس نئی رپورٹ کو وقفے سے مستثنیٰ نہیں بناتا۔
• سپلائی چین سمجھوتا: ایسا مسئلہ جس سے منصوبے کے ماخذ کوڈ، تعمیر کے عمل یا شائع ہونے والے پیکیج کی سالمیت خطرے میں پڑے، OSS VRP کے فعال دائرے میں رہتا ہے۔ یہاں اہم فرق خود سافٹ ویئر کے استعمال کے دوران سامنے آنے والی خامی اور اس سافٹ ویئر کو تیار یا تقسیم کرنے کے راستے پر اثر کا ہے۔
• پہلے سے جمع رپورٹ: وقفہ نافذ ہونے سے پہلے جمع کرائی گئی پروڈکٹ خامی کی رپورٹ اس تبدیلی سے متاثر نہیں ہوتی۔ نئی رپورٹس کے داخلے کی پابندی کو پہلے سے زیرِ غور کیس کے مسترد ہونے کے برابر نہیں سمجھنا چاہیے۔
• Cloud VRP: Google Cloud کی بعض ریپوزٹریوں میں پروڈکٹ خامی کی رپورٹ اس الگ پروگرام میں قبول ہو سکتی ہے، بشرطیکہ اس کا اثر Google Cloud مصنوعات پر پڑتا ہو۔ محض کسی اوپن سورس ریپوزٹری سے تعلق Cloud VRP میں اہلیت ثابت نہیں کرتا۔
• Patch Rewards Program: اوپن سورس منصوبے کی سلامتی بہتر بنانے والا پیچ اس الگ انعامی راستے سے متعلق ہو سکتا ہے۔ پیچ کی شراکت اور OSS VRP میں نئی پروڈکٹ خامی کی رپورٹ دو مختلف درخواستیں ہیں؛ ایک کو دوسرے کا خودکار متبادل نہیں سمجھا جا سکتا۔

یہ تقسیم ایک ہی منصوبے میں پائی جانے والی مختلف دریافتوں پر مختلف نتیجہ دے سکتی ہے۔ مثال کے طور پر، اگر کسی لائبریری کے استعمال سے صارف کے ڈیٹا پر اثر پڑتا ہے تو یہ پروڈکٹ خامی کے زمرے کا سوال ہے۔ اگر مسئلہ اسی منصوبے کے شائع ہونے والے پیکیج میں غیر مجاز تبدیلی کا راستہ کھولتا ہے تو اسے سپلائی چین کے دائرے میں جانچا جائے گا۔ یہ زمرہ بندی کسی فرضی رپورٹ کے انعام یا قبولیت کی ضمانت نہیں؛ اصل اثر اور پروگرام کی شرائط فیصلہ کن رہیں گی۔

پروڈکٹ خامی اور سپلائی چین کیس میں حد کہاں ہے؟

پروڈکٹ خامی کا تعلق اس سافٹ ویئر کے رویے سے ہے جو متعلقہ اوپن سورس کوڈ سے بنتا ہے۔ غلط اجازت، میموری کی خرابی یا ایسا ڈیزائن جو صارف کے ڈیٹا کی رازداری یا سالمیت پر اثر ڈالے، اسی نوعیت کی دریافت ہو سکتی ہے۔ وقفے کا اطلاق ایسی نئی رپورٹس کے OSS VRP میں داخلے پر ہے، چاہے محقق نے تکنیکی مسئلہ واضح طور پر ثابت کیا ہو۔

سپلائی چین کا معاملہ اس سے الگ ہے: کسی حملہ آور کو ماخذ کوڈ بدلنے، تعمیر کے عمل پر اثر ڈالنے یا تقسیم کیے گئے پیکیج سے چھیڑ چھاڑ کرنے کا راستہ مل سکتا ہو۔ اس زمرے میں ریپوزٹری کی ترتیبات، رسائی کے اختیارات اور تعمیر یا اشاعت سے جڑے نظام متعلقہ ہو سکتے ہیں۔ دریافت کی وضاحت میں یہ بتانا ضروری ہے کہ اختیار کس مرحلے پر حاصل ہو سکتا ہے اور اس کا منصوبے یا اس کے صارفین پر کیا اثر پڑے گا۔ صرف یہ کہنا کہ کوئی ریپوزٹری اہم ہے، سپلائی چین سمجھوتا ثابت نہیں کرتا۔

پہلے سے جمع رپورٹ کی حیثیت میں بھی اسی فرق کو برقرار رکھنا چاہیے۔ اگر پروڈکٹ خامی وقفے سے پہلے داخل ہو چکی ہے تو اس کی جانچ موجودہ کیس کے طور پر جاری رہ سکتی ہے؛ اسے نئے سپلائی چین زمرے میں دوبارہ داخل کرنے کی ضرورت اس اعلان سے پیدا نہیں ہوتی۔ اس کے برعکس، وقفے کے بعد دریافت ہونے والی نئی پروڈکٹ خامی کو پرانے کیس کی مثال دے کر OSS VRP میں قابلِ قبول نہیں بنایا جا سکتا۔

وقفے تک بات کیسے پہنچی؟

غیر معیاری رپورٹس کا مسئلہ اکتوبر کے فیصلے سے پہلے بھی پروگرام کے قواعد پر اثر ڈال چکا تھا۔ The Hacker News کی رپورٹ کے مطابق Google نے مارچ ۲۰۲۶ میں بعض پروڈکٹ خامیوں کے لیے زیادہ مضبوط ثبوت کی شرط رکھی تھی؛ اس میں قابلِ اعادہ تکنیکی مراحل یا منصوبے میں ضم شدہ پیچ شامل ہو سکتے تھے۔ اس وقت تبدیلی رپورٹ کے معیار اور بعض زمروں کی اہلیت سے متعلق تھی۔ موجودہ وقفہ اس سے آگے بڑھ کر نئی پروڈکٹ خامی رپورٹس کا داخلہ ہی روکتا ہے۔

اکتوبر کے فیصلے کے لیے Google نے خودکار اور زیادہ تر نامعتبر رپورٹس کا حوالہ دیا ہے۔ اس بیان سے یہ نتیجہ نہیں نکلتا کہ ہر خودکار ذریعے یا مصنوعی ذہانت کی مدد سے کی گئی تحقیق ممنوع ہو گئی ہے۔ پابندی کا معیار رپورٹ کی قسم ہے: نئی پروڈکٹ خامی فی الحال OSS VRP میں نہیں جائے گی، جبکہ سپلائی چین کے قابلِ عمل کیس کے لیے راستہ کھلا ہے۔ رپورٹ کی درستی اور اس کا ثابت شدہ حفاظتی اثر پھر بھی اہم رہیں گے۔

متبادل راستوں کی اپنی حد ہے۔ Cloud VRP کے لیے Google Cloud مصنوعات پر اثر دکھانا ہوگا، اور Patch Rewards Program میں محقق کی شراکت ایک حفاظتی بہتری کا پیچ ہے۔ Google کی اگلی اطلاع تک نئی پروڈکٹ خامی دریافت کرنے والے محقق کو متعلقہ منصوبے کی رپورٹنگ پالیسی اور دوسرے انعامی پروگراموں کا دائرہ دیکھنا ہوگا؛ صرف OSS VRP کے پرانے قواعد پر انحصار کرنے سے رپورٹ غلط جگہ پہنچ سکتی ہے۔

یہ بھی پڑھیں:

• Google AI Mode پاکستان میں دستیاب: اردو سوال اور PDF بھی قبول کرتا ہے
• پاکستان میں کمپنی رجسٹر کریں—نام کی غلطی درخواست شروع میں روک سکتی ہے
• Basware نے Trustpair خریدا، درست invoice کے بعد bank account بھی چیک ہوگا