回复：隐藏的Microsoft CVE，没有答案

对不起，延迟添加西蒙教皇

从：所有者 - cve-editorial-board-list@lists.mitre.org [mailto：lands-cve-editorial-board-list@lists.mitre.org]代表棺材，克里斯
发送：2017年3月27日，星期一，上午9:14
到：carsten eiram
CC：cve-editorial-board list
主题：回复：隐藏的Microsoft CVE，没有答案

卡斯滕，

感谢您的调查和有关这些问题的领导。我们还将直接与Microsoft CNA联系人进行核对，并查看我们可以找到的内容。

问候，

克里斯·科芬

CVE团队

从：所有者cve-editorial-board-list@lists.mitre.org[[mailto：所有者cve-editorial-board-list@lists.mitre.org这是给予的代表Carsten Eiram
发送：2017年3月25日，星期六，上午2:44
到：CVE编辑板列表<cve-editorial-board-list@lists.mitre.org>
主题：隐藏的Microsoft CVE，没有答案

上周，我注意到Microsoft在Chakracore用CVE修复了三个漏洞。这是脉轮的一部分；Microsoft Edge中使用的脚本引擎。

这些是提交：

https://github.com/microsoft/chakracore/commit/9da019424601325A6E6E95E95E6BE0FA03D7D21D21D0B517

https://github.com/microsoft/chakracore/commit/402F3D967C0A905EC5B9CA9C240783D3F2C15724

https://github.com/microsoft/chakracore/commit/065b7978c40ded35c356ced6cd922a40156c9c46

我注意到，即使MS17-007解决了Microsoft Edge漏洞，也没有在最近的Microsoft Security公告中提及三个CVE。

我与MSRC联系以进行澄清，以确定它们是否不会影响MS Edge，Microsoft是否忘记修补MS Edge，或者只是忘记将三个CVE添加到其安全公告中。

现在已经有6个工作日了，我仍然没有收到答案。从历史上看，微软否则一直擅长迅速回应此类请求。

如果Microsoft忘记将这些CVE添加到MS17-007中，那将是快速更新公告的简单问题。如果他们忘记将修复程序包括在MS Edge中，那么他们显然有一个更大的问题（也许这就是他们的无线电沉默的原因）。

如果这些问题不影响MS Edge，则Microsoft似乎不应该分配CVE，除非他们告知作业。显然，半隐藏它们在提交中是有问题的，因为它们不会被覆盖。例子：它们仍然是“保留的”。

无论哪种方式，关于Microsoft首先“隐藏”提交消息中的三个CVE，接下来甚至在询问作业时都无法及时响应CVE董事会成员。

考虑到Microsoft不仅是CNA，而且在该板上也代表了Microsoft，似乎他们需要努力改善其内部流程。

如果微软可以为此提供一些启示，我将不胜感激。

/Carsten