Cortex完成OSTIF安全审计
内容提要
开源技术改进基金公布了对Cortex的安全审计结果。Cortex是Prometheus和OpenTelemetry的长期多租户可扩展存储。审计由Quarkslab和CNCF支持，采用白盒代码审查，聚焦租户边界和集群操作安全。共发现7项问题（6项中等、1项低），均已修复。建议更新至最新版本，并提供了相关文档和报告链接。
延伸解读
审计范围与重点
本次审计由Quarkslab采用白盒代码审查方法，重点聚焦租户边界和集群操作的安全健康，包括机密性、完整性和可用性。审计过程包括发现阶段、威胁模型研究、静态分析和动态测试。这有助于读者理解审计的深度和针对性，而非泛泛的安全检查。
发现的问题与修复
审计共发现7项具有安全影响的问题，其中6项为中等严重性，1项为低严重性。所有问题均已通过验证修复，并建议用户更新至最新版本。这提醒用户及时升级软件以获取安全修复，同时说明开源项目对安全问题的响应机制。
审计的积极评价
报告记录了审计人员对项目的积极印象，以及项目优势和整体风险领域的见解。这表明Cortex在安全方面有值得肯定的地方，但也存在需要持续关注的风险。读者可参考报告了解项目的安全态势，但需注意审计的时效性。
Q&A
Cortex是什么？
Cortex是一个开源的、长期的多租户可扩展存储，用于Prometheus和OpenTelemetry。
谁对Cortex进行了安全审计？
审计由Quarkslab执行，并得到了开源技术改进基金（OSTIF）和云原生计算基金会（CNCF）的支持。
Cortex安全审计采用了什么方法？
审计采用了白盒代码审查方法，包括发现阶段、研究威胁模型、与维护者对齐、代码审查（静态分析）和动态测试。
Cortex安全审计发现了哪些问题？
审计共发现7个具有安全影响的问题，其中6个为中等严重性，1个为低严重性。
Cortex安全审计的重点是什么？
审计重点检查了租户边界和集群操作的安全健康状况，包括这些功能的机密性、完整性和可用性。
Cortex安全审计发现的问题是否已修复？
是的，所有七个发现的问题都经过了验证修复，建议用户更新到Cortex项目的最新版本。
