再保险:CVE托管服务

在2/24/17 11:03,米勒,托马斯写道:>我如何使用服务vuln CVE检查我的环境是影响>,如果是这样的话,我的行动应用适当的补救措施?我不认为你可以。在等情况下,CVE只是提供识别。仍然是有用的和必要的,只是不能满足你们所需要的。我希望会有服务漏洞,IDs但从来没有足够的额外信息来支持防御性行动(超出)有基本的了解。-艺术> - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - > *:* owner-cve-editorial-board-list@lists.mitre.org代表> Kurt > Seifried > *发送:* 2月24日,星期五,2017年3:44:39点> *:*马尼恩艺术> * Cc: *耶利哥;展位,哈罗德(美联储);cve-editorial-board-list > *主题:* Re: CVE托管服务> >所以啊我就离开这个例子:> >https://www.google.ca/search?q=cloudflare + cloudbleed> >我知道例如CloudSecurityAlliance方面我现在需要>强制重置所有密码我们所有的网站,看看>我们做第三方认证的(例如FaceBook、Linkedin)是否影响>(不,有很多我们能做的除了通知>的人)。> >在星期四,2月23日,2017年在36点,马尼恩艺术< amanion@cert.org > <mailto: amanion@cert.org> >中写道:> > 2017-02-23 19:05,耶利哥写道:> > >https://bugs.chromium.org/p/project-zero/issues/detail?id=1139> <https://bugs.chromium.org/p/project-zero/issues/detail?id=1139> > > > >哈罗德,你会怎么写CVE-ish描述,在>中> >的CVE特定站点问题?服务和信息> > >是最简单的部分披露。然后呢?你还提到一些> > >服务使用Cloudflare吗?一些企业可能知道,个人>不(例如> > 1密码是托管在它)。你放下了什么日期范围>吗?你> >知道修复日期,开始日期。这可以追溯到>这样的问题> >条目有用公司试图确定>风险。> >不回答你的问题,但是:> >这个问题应该得到CVE ID所以世界可以谈论它和> >有信心他们正在谈论相同的“它”。The description > might > be tricky, but the description is primarily to > catalog/de-duplicate, not > to help assess risk. > > CVE is lower layer of infrastructure. Someone else (NVD, CVSS, > RBS, > CERT, a CloudFlare customer) can add to the severity/risk > assessment. > > - Art > > > > > -- > > Kurt Seifried -- Red Hat -- Product Security -- Cloud > PGP A90B F995 7350 148F 66BF 7554 160D 4553 5E26 7993 > Red Hat Product Security contact: secalert@redhat.com > <mailto: secalert@redhat.com>