Sto conducendo uno studio sulle diverse politiche di divulgazione delle vulnerabilità nel tentativo di determinare quanto tempo impiega un determinato fornitore a pubblicare una correzione / patch, a seconda di come è stata divulgata una determi...
Cosa succede quando una vulnerabilità è stata aggiunta a un database? Cioè, cosa possiamo fare (sicurezza / professionisti IT) a riguardo? Come possiamo scoprire cosa fare?
Il sistema di vulnerabilità ed esposizioni comuni (CVE) è un dizionario di vulnerabilità di sicurezza delle informazioni note pubblicamente e esposizioni in pacchetti software rilasciati pubblicamente.
Sto cercando una risposta canonica a...
Prendiamo questo CVE ad esempio: link
obtain administrative access via unspecified vectors.
Quali vettori non specificati significa?
Ho visto questo termine in un molto di CVE.
Questo significa tramite fattori non specificat...
Sono consapevole che esiste la lista CVE pubblicata da NVD. Esistono altri elenchi di vulnerabilità importanti che mostrano vulnerabilità diverse dai NVD?
Thx
Ho trovato un PoC per un attacco MitM verso RDP pubblicato a marzo 2017 ma nessun CVE in nessuno dei database e nessuna menzione di patch di Microsoft.
Voglio sapere se funziona ancora, come potrei scoprirlo senza testarlo da solo?
Ne ho sentito parlare forse una settimana fa e mi sembra una vulnerabilità estremamente critica. Ma non ho trovato alcuna descrizione tecnica di esso. Solo che è possibile eseguire il codice da remoto solo inviando l'immagine appositamente creat...
Es. Heartbleed, alias CVE-2014-0160, ha solo una gravità CVE di 5.0. Eppure i media sono impazziti per questi bug.
È perché hanno un nome interessante e un logo, o la metrica di gravità CVE è in qualche modo imperfetta?
So che siti come cvedetails e exploit-db dispongono di CVE specifici per Windows 10. Ma microsoft.com non ha un elenco (o feed) di avvisi di vulnerabilità e CVE recentemente divulgati? Ho controllato il loro sito web (che è un po 'di confusione...
Quindi il mio approccio ingenuo era di interrogare NVD per gli URI CPE dei prodotti software che uso.
Purtroppo ho notato che molte voci non hanno voci CPE. (ad esempio per il 2016 ci sono attualmente 1332 senza URI CPE).
Quindi questo sig...