再保险:DWF开源CNA要求:

在星期一,2016年11月7日,凌晨7:54,马尼恩的艺术<amanion@cert.org>写道:

在2016-11-06 16:03 Kurt Seifried写道:

> 4。你会什么软件专门分配cf(这个可以
>是你船的一切,或有限的子集,DWF将
>需要名单至少,理想情况下与url软件)

一般是允许的,例如,non-vendor CNAs可能吗
覆盖广泛/无法提前知道吗?

现在我想专注于“简单”必须的过程,研究人员的问题我打算讨论周二/周三我们可以算出一个框架,将有希望预防问题/滥用。

> 5。你必须提供一个公共方法(如不需要登录)
>发表cf(如产品的更新日志或安全页面的列表
> cf和最小信息中指定CNA规则)

一旦制定,发布必须在最低的标准
CVE发表的格式和使用标准的交通工具。

> 10。一旦CVE公开(如固定问题)你必须的
>告诉DWF在24小时内(通过将请求
> DWF-Database-Artifacts至少和DWF-Database
>使用目前最低DWF-Database-Artifact规范)
>使用
> (https://github.com/distributedweaknessfiling / DWF -数据库工件/团/主/ JSON-file-format -CURRENT.md)

执行# 10 # 5不一样吗?

不,我也想让他们保持一个安全页面/更新日志至少。人们使用软件从CNA不该看DWF cf /斜接通知,CNA也应该发布它们。

——艺术

- - -

- - -
Kurt Seifried——红帽产品安全——云
PGP A90B F995 7350 148 f 66高炉7554 160 d 4553 5 e26 7993
红帽产品安全联系: secalert@redhat.com