Re:惠普的CVE分配政策

来耶利哥:<jericho@attrition.org>
主题再保险:惠普的CVE分配政策
从:Kurt Seifried <kseifried@redhat.com>
日期:星期五,2017年4月7日13:24:16 -0600
Authentication-results:防晒系数=没有(发送者的IP 129.83.29.3) smtp.mailfrom = LISTS.MITRE.ORG;mitre.mail.onmicrosoft.com;dkim = none(消息没有签署)header.d =没有;mitre.mail.onmicrosoft.com;dmarc =没有行动=没有header.from = redhat.com;
Cc:CVE编辑委员会<cve-editorial-board-list@lists.mitre.org>
交货日期:2017年4月7日15:47:46星期五
在回复:<alpine.LNX.2.00.1704071412390.19881@forced.attrition.org>
名单有用:<mailto: LISTSERV@LISTS.MITRE.ORG ?身体= % 20 cve-editorial-board-list信息>
List-owner:<mailto: CVE-EDITORIAL-BOARD-LIST-request@LISTS.MITRE.ORG>
List-subscribe:<mailto: CVE-EDITORIAL-BOARD-LIST-subscribe-request@LISTS.MITRE.ORG>
List-unsubscribe:<mailto: CVE-EDITORIAL-BOARD-LIST-unsubscribe-request@LISTS.MITRE.ORG>
引用:<alpine.LNX.2.00.1704071412390.19881@forced.attrition.org>
发送方:<owner-cve-editorial-board-list@lists.mitre.org>
Spamdiagnosticmetadata:6 cdb8bfc89744bd8bfee511e3e65aa05
Spamdiagnosticoutput:1:2

我想的问题是在2.1节CNA指南:

”“”

CVE id分配给安全漏洞在他们所描述的范围CNA的根CNA或主中央社。CVE id应该只被分配到的漏洞或将公开。2的漏洞将不会公开得不到CVE id。

”“”

什么是“公共”?我认为是公共发布更新,即使是闭源(特别是如果他们是开放源码的)。没有CVE绝对让顾客处于危险之中,因为他们可能不会更新(打破),攻击者能够找到这些缺陷是否有cf(使用bindiff /等等)。

在星期五,4月7日,2017下午1:13,耶利哥<jericho@attrition.org>写道:

这通过Twitter。想法吗?

https://twitter.com/tombkeeper/地位/ 850275006256787456

- - -

Kurt Seifried——红帽产品安全——云
PGP A90B F995 7350 148 f 66高炉7554 160 d 4553 5 e26 7993
红帽产品安全联系: secalert@redhat.com