Esiste un CVE o CVSS per l'enumerazione delle porte?

Naviga le tue risposte
0

Diciamo che esiste una società che non ha un firewall ed è possibile eseguire un'enumerazione di porte e servizi.

Potrebbe essere considerata una vulnerabilità se fornisce informazioni sulle impronte digitali? O si considera solo una vulnerabilità al processo di sfruttamento?

Per essere più precisi, ho trovato una porta per un servizio legit che non è protetto al di fuori della loro DMZ e sta fornendo informazioni per sfruttare alcune altre vere vulnerabilità in altri servizi. Infatti, fornisce la versione del server MySQL che usano, che è piuttosto vecchia e molto vulnerabile.

Come dovrei avvisarlo? Se non riesco a impostare un CVSS, supporranno che non vi sia alcun rischio associato.

    
posta Cod1ngFree 28.03.2018 - 10:31
fonte

2 risposte

1

Anche se non esiste un CVSS specifico, puoi comunque considerarlo un risultato da una prospettiva di sicurezza e di best practice del settore. Una volta forniti i risultati, essi [dovrebbero] avere la responsabilità di classificare i risultati nel rapporto e attenuarli o risolverli di conseguenza.

Se stanno facendo i test per allinearsi con alcuni standard di conformità o altri standard di sicurezza, potrebbero esserci dei requisiti che stanno violando la configurazione corrente.

La tua scoperta suggerisce che l'azienda potrebbe avere alcuni dei seguenti problemi:

  • Un firewall pubblico con porte in ingresso aperte al server di database - forse c'è una giustificazione commerciale, forse non vengono eseguite revisioni di regole

  • Una DMZ contenente un server di database - forse il server di database dovrebbe trovarsi in una VLAN non pubblica

  • Un sistema scadente di aggiornamento e patching dei criteri

  • Una mancanza di consapevolezza / formazione alla sicurezza

  • Una mancanza di processi di gestione delle vulnerabilità - l'azienda dovrebbe aver identificato e risolto questo problema senza dover assumere una terza parte per dirgli

risposta data 28.03.2018 - 14:52
fonte
1

CVE è inteso per specifici bug relativi alla sicurezza nel software.
"Alcune società a caso singole hanno un reparto IT difettoso" non è qualcosa da scrivere lì.

Tutti i problemi citati si riducono a un reparto IT errato, ovvero configurazione FW errata (non identica a quella di un bug del software FW) e nessun aggiornamento sul loro DB ("nessun aggiornamento effettuato dall'amministratore" non è ancora un bug del software ).

    
risposta data 28.03.2018 - 12:16
fonte

Leggi altre domande sui tag

Che cosa è un buon modo per incorporare la crittografia rsa in un'app di messaggistica I client di letsencrypt sono controllati?