‏وقتی «N-day» می‌شه «N-hour»

نویسنده‌ها توضیح می‌دن که بخش بزرگی از آسیب واقعی از N-day‌ها میاد، نه zero-day‌ها. N-day یعنی آسیب‌پذیری‌ای که عمومی افشا و وصله شده، ولی هنوز رو خیلی از دستگاه‌ها نصب نشده؛ مهاجم تو همون بازه‌ای که بهش «شکاف وصله» (patch gap) می‌گن به سیستمای وصله‌نشده حمله می‌کنه. نکته اینه که خود وصله یه نقشه‌ی راه به سمت باگه: مهاجم با مقایسه‌ی کد یا باینریِ قبل و بعد از وصله (که بهش patch diffing می‌گن) دقیقاً می‌فهمه چی عوض شده و باگ رو مهندسی معکوس می‌کنه. از نظر تاریخی این کار کند و تخصصی بوده؛ مثلاً WannaCry پنجاه‌ونه روز بعد از وصله‌ی MS17-010 زد، و تو تحلیل ۲۰۲۰ مَندیانت ۱۶ تا از ۲۵ آسیب‌پذیری یه ماه یا بیشتر طول کشیده تا اکسپلویت بشن.

برای فایرفاکس، تیم ۱۸ وصله‌ی امنیتی موتور جاوااسکریپتِ SpiderMonkey (نسخه‌های ۱۴۸ و ۱۴۹) رو که حداقل ۹۰ روز عمومی بوده انتخاب کرده. مدل تو یه کانتینر لینوکسی بدون اینترنت کار می‌کنه و فقط diff عمومی، نام کامپوننت، درجه‌ی شدتِ موزیلا و دو نسخه از بیلد خط‌فرمانیِ jsshell (یکی آسیب‌پذیر، یکی وصله‌شده) رو می‌گیره؛ متن advisory یا نمونه‌ی گزارش‌دهنده بهش داده نمی‌شه. اول سنجیدن مدل چقدر می‌تونه وصله رو به یه PoC تبدیل کنه؛ یعنی یه ورودی که فقط بیلد آسیب‌پذیر رو کرش بده نه بیلد وصله‌شده، که ثابت می‌کنه مدل دقیقاً همون باگ موردنظر رو زده.