再保险:CVE托管服务

在星期五,2月24日,2017年在34点,帕斯卡莫尼耶<pmeunier@cerias.purdue.edu>写道:

在这种情况下你谈论事件id,不是CVE id,因为
第二和第三的核心漏洞作为第一个可能相同,
只是严重修补或严重保护。此外,两个相似的

不一定。他们可以完全独立的事情/服务(《我不知道cloudflare内部运作,它可能是单一的二进制据我所知)。

发现在同一时间可以是不同的漏洞
你需要2 cf正确。还是我们不在乎了,就像我
记得看到一个为多个定义模糊的CVE漏洞?

对于每一个事件,没有远程黑盒子内可见性
提供服务,我们几乎没有不知道哪个
漏洞,和我们不能ID。我们只能ID
发现的问题。虽然给事件id和发现
非常有用的,这是超出了CVE的范围。就像我们有一个
锤(CVE id),现在所有的东西都看起来像是钉子。

理想情况下,提供者将帮助CVE作业(就像cloudflare写了一大博客条目),正确地完成。很多这些提供者关心被视为安全意识/负责任,这是一个主要的竞争优势。

我建议创建其他识别事件,或报告
找到id。

帕斯卡


在星期五,2017-02-24在-0700年11,Kurt Seifried写道:
>例如有人发现另一个内存CloudFlare披露,然后
>另一个人发现第三个。我们谈论的A、B或C ?
> CLoudBleed 1 ?CloudBleed后的吗?如果他们CVE的或
>标识符将会容易得多。尤其是当我必须现在
>与其他供应商(嘿,Atlassian,你提供JIRA通过
> CloudFlare,你受到CloudBleed吗?)。
>
>尤其是数据泄露CloudBleed现在各种各样的数据
>在网络缓存(搜索提供商,也许archive.org等),所以
>我们需要谈论这个断断续续可能接下来的几个
>年。
>
>在星期五,2017年2月24日上午9:03,米勒,托马斯<Thomas.Millar@hq.dhs.gov>
>写道:
>
> >我如何使用服务vuln CVE检查我的环境
> >的影响,如果是这样的话,我的行动应用适当的补救措施?
> >
> >
> >
> >汤姆米勒,us - cert
> >
> >从+ 1-202-631-1915< 20631 - 1915 (202)% >
> >https://www.us-cert.gov
> >
> > - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
> > *:*owner-cve-editorial-board -list@lists.mitre.org代表库尔特
> > Seifried
> > *发送:*星期五,2017年2月24日3:44:39点
> > *:*马尼恩的艺术
> > * Cc: *耶利哥;展位,哈罗德(美联储);cve-editorial-board-list
> > *主题:* Re: CVE托管服务

> >
> >啊所以我就离开这个例子:
> >
> >https://www.google.ca/search?q = cloudflare + cloudbleed
> >
> >我知道例如CloudSecurityAlliance方面我现在需要
> >强制重置所有密码我们所有的网站,看看第三
> >方我们做身份验证(例如FaceBook、Linkedin)看看
> >(不影响,有很多我们能做的除了通知人)。
> >
> >在星期四,2月23日,2017年在36点,马尼恩艺术<amanion@cert.org>写道:
> >
> > > 2017-02-23 19:05,耶利哥写道:
> > >
> > > >https://bugs.chromium.org/p/project zero /问题/细节? id =1139年
> > > >
> > > >哈罗德,你会怎么写CVE-ish描述的
> > >上下文
> > > >的CVE特定站点问题?服务和信息披露
> > > >比较容易的部分。然后呢?你也提到的一些服务吗
> > > >使用Cloudflare吗?一些企业可能知道,个人不(如。
> > > > 1密码是托管在它)。你什么日期范围放下吗?
> > >你
> > > >知道修复日期,开始日期。这可以追溯到问题
> > > >这样的条目有用的公司试图确定风险。
> > >
> > >没有回答你的问题,但是:
> > >
> > >这个问题应该得到CVE ID可以谈论它,所以世界
> > >信心他们正在谈论相同的“它”。The description might
> > >是棘手的,但主要是描述目录/减少重复,不是
> > >来帮助评估风险。
> > >
> > > CVE底层的基础设施。别人(CVSS NVD,苏格兰皇家银行、
> > > CERT CloudFlare客户)可以添加到严重性/风险评估。
> > >
> > >——艺术
> > >
> >
> >
> >
> >——
> >
> > Kurt Seifried——红帽产品安全——云
> > PGP A90B F995 7350 148 f 66高炉7554 160 d 4553 5 e26 7993
> >红帽产品安全联系:secalert@redhat.com
> >
>
>
>

- - -

Kurt Seifried
kurt@seifried.org