(<一个href="//www.rongyidianshang.com/cve/cve/data/board/archives/2016-10/msg00025.html">日期:][<一个href="//www.rongyidianshang.com/cve/cve/data/board/archives/2016-10/msg00027.html">下一个日期][<一个href="//www.rongyidianshang.com/cve/cve/data/board/archives/2016-10/msg00025.html">线程:][<一个href="//www.rongyidianshang.com/cve/cve/data/board/archives/2016-10/msg00027.html">线程下][<一个href="//www.rongyidianshang.com/cve/cve/data/board/archives/2016-10/maillist.html">日期索引][<一个href="//www.rongyidianshang.com/cve/cve/data/board/archives/2016-10/threads.html">线程索引]

再保险:CNA规则公告

我宁愿不那么抽象,更容易有更多的CVE的和交叉引用它们(这是与以下cf: Z / X / Y)然后它是更少的cf和尝试……解释什么是他们(CVE涉及多个供应商和等等等等)。

我还要指出我们可以告诉人们“CVE不是vuln DB”直到我们面红耳赤,但现实是大部分社区的对待它,我们可以试着把海回来,或者我们可以接受现实和工作(所以改善CVRF或其他CVE数据库具有更好的数据,或数据以自动化的方式可以更容易地发现)。

10月9日,在太阳2016 29点,斯科特•劳勒<<一个rel="nofollow" href="//www.rongyidianshang.com/cve/data/board/archives/2016-10/mailto:scott.lawler@lp3.com" target="_blank">scott.lawler@lp3.com>写道:

这种级别的抽象是……。我们如何决定什么应该抽象到什么水平?

这是一个滑坡开始下降。

虽然我同意,有些抽象级别是好的。我认为我们需要仔细定义为社区的抽象级别是合适的。

老实说,我不太确定怎么做。我讨厌说case-by-base但…

如何量化和定义正确的抽象级别?

谢谢你！

斯科特

703-509-9330

来自:<<一个rel="nofollow" href="www.rongyidianshang.com/mailto:owner-cve-editorial-board-list@lists" target="_blank">owner-cve-editorial-board -list@lists.mitre.org代表“威廉姆斯,肯”> <<一个rel="nofollow" href="//www.rongyidianshang.com/cve/data/board/archives/2016-10/mailto:Ken.Williams@ca.com" target="_blank">Ken.Williams@ca.com>
日期:周六,2016年10月8日上午十一31
:的孩子叫Nandakumaraiah <<一个rel="nofollow" href="//www.rongyidianshang.com/cve/data/board/archives/2016-10/mailto:cbn@juniper.net" target="_blank">cbn@juniper.net>,cve-cna-list <<一个rel="nofollow" href="www.rongyidianshang.com/mailto:cve-cna-list@lists" target="_blank">cve-cna-list@lists.mitre.org>
答:cve-editorial-board-list <<一个rel="nofollow" href="www.rongyidianshang.com/mailto:cve-editorial-board-list@lists" target="_blank">cve-editorial-board-list@lists.mitre.org>
主题:再保险:CNA规则公告

解决方案:指定一个主/主/原始CVE

“TLS的贵宾犬”漏洞,然后根据需要分配cf

所有受影响的products-vendors。每一个“二次”

贵宾犬cf应该参考/主狮子狗CVE“标签”

在他们的描述。

问候,

肯•威廉姆斯

漏洞响应主管、产品漏洞反应小组

CA技术| 520麦迪逊大道,22楼,纽约纽约10022

- - - - - - - - - - -原始消息

来自:<一个rel="nofollow" href="www.rongyidianshang.com/mailto:owner-cve-cna-list@lists" target="_blank">owner-cve-cna-list@lists。mitre.org(<一个rel="nofollow" href="//www.rongyidianshang.com/cve/data/board/archives/2016-10/mailto:owner-cve-cna-" target="_blank">mailto: owner-cve-cna -

list@lists.mitre.org)代表的孩子叫Nandakumaraiah

发送:周六,2016年10月08日

:cve-cna-list <<一个rel="nofollow" href="www.rongyidianshang.com/mailto:cve-cna-list@lists" target="_blank">cve-cna-list@lists.mitre.org>

答:cve-editorial-board-list <<一个rel="nofollow" href="www.rongyidianshang.com/mailto:cve-editorial-board-list@lists" target="_blank">cve-editorial-board-list@lists.mitre.org>

主题:Re: CNA宣布规则

>前进确定,但追溯试图执行一个

问题

>,在某种程度上已经抽象不工作。

同意了。我们需要一个语句或规则之间的交互新

作业和作业基于先前的规则。

如果我们发现一种新产品“TLS的贵宾犬”漏洞:

(一)我们分配一个新CVE id与限制其使用的产品

一个人(旧规则)?

(b)使用cve - 2014 - 8730(基于INC5和附录E规则)?

(c)分配一个新CVE完全“TLS的贵宾犬”漏洞?

>不知道每一个扫描仪呢。在有一个有很多价值

> per-vendor发现在这种情况下,其他单发现会

一个

> 250 +报告列表,每个不易区别

其他的,

>,带着解决方案。

我们不能解决这个问题,分配250 +不同cf

常见的漏洞。这就像回到pre-CVE时代,

不是吗?

如果产品供应商被扫描从来没有产生一个顾问

或修复的狮子狗TLS的问题?许多cf应该的

扫描仪使用引用,独特的问题吗?

谢谢,

的孩子叫

- - -

安全应急响应小组

瞻博网络




- - -

- - -
Kurt Seifried——红帽产品安全——云
PGP A90B F995 7350 148 f 66高炉7554 160 d 4553 5 e26 7993
红帽产品安全联系: secalert@redhat.com
页面最后更新或审查:2016年10月10日