processo di invio CVE?

Quando trovo una vulnerabilità per un prodotto che non è gestito da un CNA ( CVE Number Author ), Applico per un CVE prima di informare il venditore.

Il mio ragionamento per farlo in questo modo, è che ora posso chiedere al venditore di fare riferimento al CVE nella nota di sicurezza / avviso di sicurezza. E a sua volta, il CVE può ora fare un riferimento diretto alla nota di advisory / note sulla sicurezza del fornitore.

Per la seconda domanda, non credo che la conferma debba arrivare dal venditore in questione. In tal caso, non si sarebbe in grado di emettere un CVE per prodotti che non sono più mantenuti.

Ricorda che lo scopo di un CVE è identificare in modo univoco una vulnerabilità specifica. Immaginate come due diversi scanner di vulnerabilità identificheranno la stessa vulnerabilità se non ci fosse un riferimento comune per esso. Ti lascerebbe incerto se sei affetto da una o due vulnerabilità.

Quindi qualsiasi materiale pubblicato che descriva o confermi una vulnerabilità potrebbe essere utilizzato, a condizione che sia in grado di fornire dettagli sufficienti per identificarlo in modo univoco. Al contrario, se un fornitore riconosce una vulnerabilità, è fuori dubbio che la vulnerabilità esiste, senza fornire dettagli complessi che potrebbero mettere gli altri in pericolo immediato.

1. In genere contattare il fornitore potrebbe essere utile, in particolare per confermarlo e valutarlo dal punto di vista dei fornitori.

   Tuttavia, se si desidera assicurarsi di essere accreditati per aver individuato la vulnerabilità e non il fornitore, è necessario inviare e quindi fare una divulgazione responsabile al fornitore.

2. Questo può essere qualsiasi URL, non deve essere dal fornitore; per esempio, non è nemmeno necessario essere una divulgazione responsabile, è possibile collegare alla descrizione di un repository github con un exploit.

   Di solito, è il bollettino dei venditori dopo che una patch è stata rilasciata o un post sul blog dal finder.