再保险:[技术]CD:模糊(模糊的供应商的描述漏洞)

在星期二,2月19日,2002年在10:06:12AM -0600年,麦克·普罗塞写道:|我同意斯科特。|如果供应商自己发现问题(它发生你知道!)|后释放或客户通知他们这个问题,供应商不是|发布问题的技术问题,只是一个短暂的|描述,可能风险水平的问题,一个补丁或更新|版本修复。|这是客户关心的是....我脆弱的吗?|我怎么修复它所以我不?所以我不认为我们会摆脱|含糊不清。从研究和技术方面是令人沮丧的,但是|我们必须忍受的东西。我不确定供应商补丁的存在应被接受为解决这些问题;看到最近的Internet explorer上卷补丁。从实践层面,我们今天可能需要使用它,但我想我们可能想要鼓励供应商表现得比这更好。我们可以使用CD-VAUGE作为压力点吗? | Scott's suggestion that the VAGUE CD should specifically refer to issues | confirmed by the Vendor but not further detailed is a good idea. Agreed; as I said in my other note, we may want a different CD to cover issues partially reported by reputable sources. Adam | -Mike Prosser | Research Technical Lead, SIRC | Symantec Security Response | Symantec Corporation | | mprosser@symantec.com |http://securityresponse.symantec.com| | |(210)403 - 7833(210)403 - 7895传真| | | | | - - - - - - - - - - - - + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - > | | | Tknogeek@AOL。:发送的COM | | | | | | | | owner-cve-editorial-board-list@list | | | | s.mitre.org | | | | | | | | | | | | 02/18/2002 09:50点| | | | | | | - - - - - - - - - - - - + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - > | > - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - | | | | | |:cve-editorial-board-list@lists.mitre.org | | | cc: | | |主题:Re:[技术]CD:模糊(模糊的供应商描述漏洞)| | > - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - | | | | | |帕斯卡和史蒂夫,|我的这是一个实用的一如既往。如果供应商选择|发布模糊的东西,他们公开承认他们有|问题,需要修补。供应商承认一个接触或|漏洞存在。虽然我希望我们生活在一个完美的世界|信息并非如此。我认为CD:模糊将帮助我们|处理缺陷提供我们不要过度使用它。| |我认为重要的是要记住,CVE的主要用途之一是|帮助系统妥善保护。在情况下,供应商说|“您需要安装这个补丁”,我认为权证CVE条目…甚至如果| |有点模糊。| |如果我们开始分配模糊的未经证实的东西,它可以得到一个|小混乱。也许我们需要指定的定义模糊的|专门指的是模糊的供应商确认报告,而不是模糊的|。 | | I'm sure if we beat this to deal long enough we can come up with a | metric for vagueness too. :-) | | Scott | | Scott Lawler, CISSP | Veridian -- "It is seldom that liberty of any kind is lost all at once." -Hume