再保险:CVE托管服务

CVE团队讨论了包含托管服务在CVE漏洞程序在多个场合。然而,从来没有做出决定如何继续。CVE委员会称在2月22日包括内容非常丰富和有用的关于这个话题的讨论,我们觉得这个话题需要前进。基于哈罗德的有效用例,输入来自其他董事会成员,以及越来越多的软件是通过托管服务提供,CVE团队认为,这些漏洞应该分配CVE id和我们没有CVE下支持这些计划的反对。我们相信仍有决定了什么样的用例应该得到支持,但是这些可以继续被识别并讨论了CVE董事会名单。一旦我们达成一套有效的用例,CVE团队和董事会可以决定在任何需要的规则和指导方针。在这一点上,我们相信,最好的选择是飞行员的想法通过一个或多个现有的CNAs也维护托管服务。如果任何人有任何其他建议或评论前进的请报价。回答特定的问题关于风险基于CVE的决心,我们同意艺术CVE是这个过程的第一步,应该只负责(即开始交谈。命名的)。其他组织可以添加额外的价值在此之上,如分数,风险应对,等等方面,CVE团队- - - - - - - - - - -从原始信息:owner-cve-editorial-board-list@lists.mitre.org [mailto: owner-cve-editorial-board-list@lists.mitre.org马尼恩的艺术代表发送:周四,2月23日2017 37点:耶利哥< jericho@attrition.org >;布斯,哈罗德(美联储)< harold.booth@nist.gov > Cc: cve-editorial-board-list < cve-editorial-board-list@lists.mitre.org >主题:Re: CVE托管服务2017-02-23 19:05,耶利哥写道:>https://bugs.chromium.org/p/project-zero/issues/detail?id=1139> >哈罗德,你会怎么写CVE-ish描述,在>移动CVE特定站点的问题?>服务和信息披露是比较容易的部分。然后呢?你也提到一些> >服务使用Cloudflare吗?一些企业可能知道,>个人不(例如> 1密码是托管在它)。你什么日期范围放下吗?>你知道修复日期,开始日期。这可以追溯到>这样的问题有用的公司试图>确定风险的条目。不回答你的问题,但是:这个问题应该得到CVE ID所以世界可以谈论它和有信心他们谈论相同的“它”。The description might be tricky, but the description is primarily to catalog/de-duplicate, not to help assess risk. CVE is lower layer of infrastructure. Someone else (NVD, CVSS, RBS, CERT, a CloudFlare customer) can add to the severity/risk assessment. - Art