聊聊CVE漏洞编号和正式公开那些事
CVE编号获得易,正式公开难!有价值更难!!
获得CVE编号并不等于这个漏洞是有价值的,甚至说这个漏洞都不一定是真实存在的。这主要源于CVE编号颁发机构开放式的工作模式,后面我们会详细介绍。
那么什么样的漏洞是有价值的呢?小编认为最起码要保证原创漏洞的真实可靠和受影响面的广泛度。以绿盟连续五年获得的微软MBB奖励计划为例,其要求原创漏洞必须满足如下指标,包括:漏洞利用必须可靠,且有合理的请求;提交的技术、方法必须新颖,适用于Windows体系的利用远程代码执行漏洞;必须适用于高风险的应用程序,如浏览器或文档阅读器;必须是通用的,即适用于多个内存崩溃漏洞;漏洞必须来源于微软产品的最新版本等。该计划按漏洞价值奖励5千-6万美金不等。在最近的2017年公布的奖励计划中,绿盟研究院获得1万美金。
2017微软MBB赏金计划获奖名单
小编脑洞一下,假如有一个安全研究团队可以具有8个月发现200个原创CVE漏洞的速度,且是有价值可公开的,那么粗算下奖金,将获得约600万人民币。近8个月,安全圈里光挖洞,就可以诞生好几位百万富翁,但是事实上,并没有。为什么?
下面小编就带你看看一个CVE漏洞编号是如何诞生的,聊聊为什么获得CVE漏洞编号并不等于漏洞挖掘能力。
一 CVE漏洞编号是谁颁发的?
CVE开始是由MITRE Corporation负责日常工作的。但是随着漏洞数量的增加,MITRE将漏洞编号的赋予工作转移到了其CNA(CVE Numbering Authorities)成员。CNA涵盖5类成员。目前共有69家成员单位。
1.MITRE:可为所有漏洞赋予CVE编号;
2.软件或设备厂商:如Apple、Check Point、ZTE为所报告的他们自身的漏洞分配CVE ID。该类成员目前占总数的80%以上。
3.研究机构:如Airbus,可以为第三方产品漏洞分配编号;
4.漏洞奖金项目:如HackerOne,为其覆盖的漏洞赋予CVE编号;
5.国家级或行业级CERT:如ICS-CERT、CERT/CC,与其漏洞协调角色相关的漏洞。
二 如何获得CVE编号
步骤1:预定CVE漏洞编号
(1)填申请表申请CVE编号
申请表中会要求填写漏洞类型、产品厂商、受影响产品或代码及版本、厂商是否已确认该漏洞、攻击类型、影响类型、受影响组件、攻击方法或利用方法、CVE描述建议等。
其中,CNA成员单位产品相关的漏洞,必须发给该CNA成员并向其申请CVE编号。
(2)MITRE或CNAs成员保留并向提交者分配CVE编号
提交者会收到如下邮件。
(3)MITRE在CVE网站创建跟这些CVE编号有关的无内容的“空白”页面;漏洞状态为RESERVED。
也就是说,RESERVED(保留)状态只是说MITRE和CNAs成员收到了这个漏洞,漏洞质量或真实性是未经过验证的。
那么CVE漏洞是如何验证的,如何确保其是真实有效的漏洞,下面就是关键的一步。
步骤2:公开CVE漏洞进行验证
(4)公开漏洞信息
请求者需通过可靠渠道公开披露或与漏洞相关方分享这些CVE-ID编号漏洞信息。比如联系上面列举的的CNAs列表中的厂商,他们将在其首次公开宣布你的新漏洞时包含CVE-ID编号,多数厂商会在致谢词中提及漏洞致谢者的名称,如下所示。
(5)请求和将公开的CVE-ID编号通知MITRE。
MITRE去掉RESERVED标识,公开漏洞详细信息,并且reference中会包含厂商的漏洞公开页面。也就是说只有这个阶段的漏洞才是经过验证为真实的有效的漏洞。
MITRE的这一措施是为了对CVE的漏洞质量进行把控,比如有些提交者提交的漏洞被发现是虚假的或存在问题的
最后,告诉大家一个秘密:只有状态已经为公开的才是有效的漏洞,否则仅仅是预定了一个CVE编号,很大可能毫无价值和意义!
转载于http://blog.nsfocus.net/cve-vulnerability-numbers-officially-disclose/
聊聊CVE漏洞编号和正式公开那些事相关推荐
- cve 漏洞编号 申请流程
什么是CVE 对于新手来说申请CVE总是摸不清门道,总觉得像这种国际化的高大上漏洞很难申请到,其实则不然,CVE的全称是"Common Vulnerabilities and Exposur ...
- 揭开CVE漏洞挖掘与编号申请那层神秘窗户纸
文章目录 前言 CVE概述 1.1 CNA机构 1.2 申请渠道 挖掘技巧 2.1 挖洞对象 2.2 高效挖洞 2.3 编号申请 漏洞展示 3.1 RCE漏洞 3.2 SQL注入 3.3 XSS漏洞 ...
- Android自定义权限CVE漏洞分析 (IEEE论文)
文章目录 前言 自定义权限早期漏洞 1.1 Android权限机制 1.2 自定义权限升级漏洞 1.3 confused deputy attack 自定义权限近期漏洞 2.1 黑盒Fuzz工具原理 ...
- Formidable 项目开发人员驳斥:MITRE 发的这个CVE漏洞纯属“碰瓷”
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士 Formidable 项目的开发人员就 Mitre 公司分配的一个CVE漏洞提出反对. Formidable 是一款热门解析器,可从GitHub ...
- (23)【漏洞利用】【原理、利用过程】中间件解析漏洞、CMS漏洞、编辑器漏洞、CVE漏洞
目录 解析漏洞: 原理: 变化因素: 熟知的中间件(解析漏洞) 0x01 IIS5.x-6.x解析漏洞: (1)目录解析漏洞(IIS6.0) 原理: 利用过程: (2)文件解析漏洞 原理: 利用 ...
- 两个栈溢出的CVE漏洞实验
2021届沈计所 Sen.W 实验原理 缓冲区溢出概述 定义 缓冲区是指被程序内部使用或存放用户输入的内存区域,而溢出是指计算机向缓冲区填充数据时超出了缓冲区本身的容量,从而破坏程序的堆栈,造成程序崩 ...
- 我忽然发现我写的cve漏洞管理系统简直就是redmine的一个小模块
当我近乎完工的时候我忽然间明白了,泪流满地,累觉不爱,如果早点遇见你,何必折磨这么多遍呢? 为了搭建这个页面,这个网站,我学写了nginx+uwsgi部署,python + Django + Mysq ...
- Facebook 正式公开 React Native 重构细节!
[CSDN编者按]Facebook 2013 年开发的 React Native 是著名的跨平台移动应用开发工具之一.目前,它不仅是最为活跃的开发者社区之一,还是 GitHub 上贡献者数量最多的开源 ...
- 2021年第一季度Sumap网络空间测绘CVE漏洞趋势安全分析报告
前言 本文主要通过网络测绘角度收集各种资产协议的版本号信息,通过比对CVE漏洞影响范围中的版本号方式,进行安全风险趋势分析,无任何实际危害互联网行为.资产在携带版本中也会存在修复补丁后版本不变的情况. ...
最新文章
- modelsim中一个神奇又容易忽视的问题
- 超越MobileNetV3!Facebook提出更轻更快的FBNetV2
- [HNOI2011]数学作业 分段矩阵乘法
- 解决:elasticsearch 更新报错:The number of object passed must be even but was [1]
- Linux Ftrace 使用
- python拦截修改数据包_会Python?那么你一定要试一试mitmproxy
- 从环境搭建到回归神经网络案例,带你掌握Keras
- 《编码规范和测试方法——C/C++版》作业 ·007——C++引入MySQL给C的API并简单封装
- 最牛逼android上的图表库MpChart(二) 折线图
- java php mysql数据库_PHP脚本和JAVA连接mysql数据库
- laravel 效率与java_让你的Laravel 应用运行速度飞起来!(利用PHP OPcache)
- 笔记本电脑运行卡顿的真正原因和解决方案
- SPI协议详解(图文并茂+超详细)
- java编写九宫格拼图游戏_基于jquery实现九宫格拼图小游戏
- php最新猜骰子,最新微信猜骰子游戏源码(免公众号版+H5)
- Php处理输入法表情,php开发中手机输入法自带的表情、emoji表情、微信表情不显示问题,以及过虑emoji表情方法!...
- python计算机视觉 相机标定--张正友棋盘格标定法
- Python数据分析实战01-商铺数据的清洗和存储(附资源文件)
- /home/image/.conda/envs/tensorflow/lib/python3.6/site-packages/tensorflow/python/framework/dtypes.py
- 在Linux上搭建一个自己的网站
热门文章
- 2024年上海美博会-上海浦东美博会(上海CBE)
- Inferior 1 (process xxx) exited with code 0177
- S7-1200PLC定时器计数器的应用
- 山石防火墙--飞塔防火墙间GRE配置
- 使用微博自动记录俯卧撑个数
- God--Ruby版的进程监控工具
- 计算机在职研究生是学历教育吗,计算机在职研究生有学籍吗
- 表白php制作教程视频,表白视频制作神器,我们提供更加创新的方法制作表白视频...
- vscode 忽略pep8的指定报错码
- Excel数据可视化——隐藏相同数据