¿Proceso de envío de CVE?

Cuando encuentro una vulnerabilidad para un producto que no es manejado por un CNA ( Autor del número CVE ), Solicito un CVE antes de notificar al proveedor.

Mi razonamiento para hacerlo de esta manera, es que ahora puedo pedirle al proveedor que haga referencia al CVE en la nota de seguridad / aviso de seguridad. Y a su vez, el CVE ahora puede hacer una referencia directa a la nota de lanzamiento / aviso de seguridad de los proveedores.

Para la segunda pregunta, no creo que la confirmación deba provenir del proveedor en cuestión. Si ese fuera el caso, uno no podría emitir un CVE para productos que ya no se mantienen.

Recuerde, el propósito de un CVE es identificar de manera única una vulnerabilidad específica. Imagine cómo dos escáneres de vulnerabilidad diferentes identificarían la misma vulnerabilidad si no hubiera una referencia común para ella. Le dejaría incierto si se ve afectado por una o dos vulnerabilidades.

Por lo tanto, cualquier material publicado que describa o confirme una vulnerabilidad podría ser utilizado, siempre que sea capaz de proporcionar suficientes detalles para identificarlo de manera única. En contraste, si un proveedor reconoce una vulnerabilidad, es indudable que existe una vulnerabilidad, sin tener que proporcionar detalles complejos que podrían poner a otros en riesgo inmediato.

1. Por lo general, sería útil ponerse en contacto con el proveedor, especialmente para confirmarlo y evaluarlo desde el punto de vista de los proveedores.

   Sin embargo, si desea asegurarse de que se le acredite por encontrar la vulnerabilidad y no del proveedor, debe enviar y luego hacer una divulgación responsable al proveedor.

2. Puede ser cualquier URL, no es necesario que sea del proveedor; ni siquiera tiene que ser una divulgación responsable, puede vincular a la descripción de un repositorio github con un exploit, por ejemplo.

   Sin embargo, por lo general, es el boletín de proveedores después de que se lanza un parche o una publicación de blog del buscador.