再保险:必须使用CVE IDs内部缺陷跟踪

在星期五,2017年2月24日,棺材,克里斯写道::2月22日的一部分CVE董事会,董事会讨论必须使用CVE: id作为内部缺陷跟踪的一部分。具体来说,当分配:CVE IDs CNA在脆弱性管理过程的早期,CVE: IDs可以转让问题的细节并不完全理解:然而(例如,问题是后来发现不是一个漏洞,多个:漏洞是一个,等等)或者没有一个:有意让他们公开。我们知道有软件维护人员:以这种方式想函数。CVE想接触:董事会作为一个整体,必须更好地通知任何决定:关于这是否应该被允许。对我来说,这是一个非常简单的“修复”基于处理大部分的CNAs以各种方式,包括数十名vulns报告。:一些CNAs目前分配CVE id作为最后一步在出版之前,例如Oracle。我与布鲁斯交易邮件(我们的邮件后,他们正在评估我的反馈),说,我不同意这个政策(和其他有关CVE分配)。他和其他人提起的一件事是你做了什么。分配在细节发现或问题是验证。简单的修复是指定供应商尽快确认这是一个有效权证反暴力极端主义的问题。 That will put the assignment somewhere between day 1 (reporting) and day X (disclosure) that is not on day X or day X-1. So I vote for flexibility... but I strongly vote against blindly assigning on day 1, and I strongly vote against assigning day X. .b