再保险:关于CVE作业oss-sec邮件列表

在星期四,11月26日,2015下午10点,马尼恩的艺术<amanion@cert.org>写道:

在2015-11-26 09:36 Kurt Seifried写道:

>只是说句题外话,secalert@redhat.com< mailto:secalert@redhat.com>有
>也见过的请求数量形式“我们斜方现在我们问
>问你“我无法满足,因为的风险
>复制是高

桩在(再一次),CERT经常被要求CVE id
请求者要求主教法冠/ CVE并没有得到响应。
还有些供应商必须,不执行,因为布莱恩已经提到。

有证书,或库尔特/ OSS-SEC或其他CNA分配更多的id
问题的一部分。尽我的理解:

1。CVE分配
2。出版/披露
3所示。主教法冠/ CVE填充条目(基于# 2)
4所示。NVD下游和其他活动

如果我们增加# 1,,就进一步推动工作列表。

当前任务压力下的模型/过程和可能的需要
改变了CVE保持广泛的有用的和相关的。

任何想法如何?从评估开始
当前状态/问题?

问候,

——艺术

我知道我们有1000 +分配CVE的公众和没有在数据库中。所以积压是真实的。

多年前我曾建议史蒂夫Christey是“轻量级cf”,例如,而不是一个完整的写,只是至少给的url OSS-Security作业,或官方供应商咨询/ etc(私下的情况我已经分配了一个项目/等等)。至少这样的人很容易追踪CVE上的一些信息(你可以谷歌,但你得到很多“保留CVE”点击您需要过滤掉)。这些轻量级条目可以被提升到“全cf”之后。

- - -

- - -
Kurt Seifried——红帽产品安全——云
PGP A90B F995 7350 148 f 66高炉7554 160 d 4553 5 e26 7993
红帽产品安全联系: secalert@redhat.com