恶意软件的作业

木板，
    今年的CVE分配越来越多
    恶意软件；特别是“恶意红宝石宝石”或“恶意NPM模块”。
    它们有可能分为两个品种，并且可能会有所不同
    取决于。第一个，最近是CVE-2018-3779：
主动支持Ruby Gem 5.2.0可以允许远程攻击者在系统上执行任意代码，该代码是由包含恶意的后门引起的。攻击者可以利用此漏洞在系统上执行任意代码。
    如果这是合法的代码，则H1报告从H1报告中尚不清楚
    被录制，通过分叉项目类似地命名为宝石，或者是宝石
    以相似的名称分发（我怀疑）。“宝石的重复
    官方的ActiveSupport（无连字符）代码，但添加了编译的扩展。”
    第二种只是恶意模块，与
    合法的模块，除了类似的名称与获得的手段
    人们下载它。一个例子是CVE-2017-16044：
“ D3.js”是一个恶意模块，其意图是劫持环境变量。NPM未发布它。
    这本质上是恶意软件，只是通过官方存储库来提供。
    由于这并不代表软件中的漏洞，因此
    我的理解是，这将不符合包容的标准
    CVE。
Miter可以澄清这一政策吗？谢谢你，布莱恩