再保险:CVE托管服务

该规则可能覆盖。谢谢你,耶利哥和迈克。我忘记了咨询文档。

我不认为它会影响思科的决定是否宣布一个漏洞。这就是决定是否问题,附上CVE公告。

我猜它会回到CVE的目的。如果主要目的是服务漏洞扫描器,扫描器不会检测漏洞的站点,如果是打补丁之前公布。如果是报告给供应商,然后花了一段时间修补,那么它可能是一个扫描器可能想要警告。虽然导演一个扫描仪在别人的SaaS提供不太可能。

我认为最大的好处是统一讨论一个问题。如果一个SaaS漏洞被披露,然后学术或在线讨论想参考脆弱性与特异性消除歧义从一些类似的漏洞。,我想是唯一方面辩论。我不知道这是一个引人注目的。

谢谢,

安迪

2017年2月15日,下午在1:36时,Landfield,肯特B <kent.b.landfield@intel.com>写道:

这是讨论过去,感觉这并不是需要一个CVE不需要识别组织外的脆弱性。大多数主机提供商迅速纠正这些类型的情况,它通常不是一个外部问题。

也就是说……,如果漏洞是在常用软件提供托管服务,其他供应商的一部分使用,将意义保证脆弱性适当处理。

你必须问自己的问题是,这是否发现漏洞可能影响组织以外的其他公司和托管服务吗?如果是这样,CVE可能是必要的。如果是国产软件,没有人或本地配置问题,然后可能不是…

推荐- - - - - -

肯特Landfield

+ 1.817.637.8026

来自: <owner-cve-editorial-board-list@lists.mitre.org>代表”安迪Balinsky (Balinsky)”<balinsky@cisco.com>
日期:周三,2017年2月15日上午十一17
:cve-editorial-board-list <cve-editorial-board-list@lists.mitre.org>
主题:CVE托管服务

我有一些内部讨论与我们的事件反应小组(PSIRT)思科,和是否存在的问题提出任何行业最佳实践,或斜方政策对cf托管服务。

主持的情况是软件服务供应商的服务器上所有的供应商。由供应商内部漏洞被发现。它是固定的。客户不需要行动。她刚刚开始使用固定版本下次访问网页。

所以,应该咨询供应商问题呢?和反暴力极端主义应该生成的吗?

在本例中是其他供应商做什么?(也许这个列表不是最好的地方讨论这个)。

安迪Balinsky

balinsky@cisco.com

< image001.jpg >

安迪Balinsky

balinsky@cisco.com