新的研究指南

我看到斜方宣布了新的研究人员预订指南……在新准则:

4所示。请求第三方协调CNAs或电子邮件列表。

如果CVE ID不能通过CNA要求,考虑与第三方联系协调等紧急响应或脆弱性分析团队(例如,CERT / CC),尤其是当有问题联系受影响的供应商。如果请求被接受,该组织将致力于CVE ID分配问题。或者,你可以发布的信息邮件列表如BugTraq或oss-security,如果接受,这个问题最终将分配一个CVE CNA ID。

这是从哪里来的?我相信你设置CVE更多研究员鄙视不成为一个正式的过程和特异性。如果人们预期CVE因为他们发布一些随机写的邮件列表,他们会失望当他们没有得到一个。

这个文档应该被送到董事会名单公布之前。这是讨论的F2F走出房间的时候吗?我找不到该公司公布董事会名单。我印象中斜方已同意让董事会了解在这些类型的事情公之于众。校准和透明的行动在哪里?

我相信“或声明应该被重写为真正的清晰和更少的歧义或完全应该被删除。我相信这对我们来说是一个错误,将导致问题在未来。具体而言,是清晰的。不要总以这样一种方式来创建研究员社区内不合理的期望……

为什么早些时候董事会不知情呢? ? ?

- - - - - -

肯特Landfield

英特尔公司

+ 1.817.637.8026