Estoy realizando un estudio sobre las diferentes políticas de divulgación de vulnerabilidades en un esfuerzo por determinar cuánto tiempo le toma a un proveedor determinado emitir un arreglo / parche, dependiendo de cómo se reveló una vulnerabilidad determinada. El problema es que me cuesta mucho identificar las vulnerabilidades "totalmente reveladas" (el proveedor no fue notificado antes de la divulgación pública). Parece que la divulgación responsable es la norma hoy en día, hasta el punto de que cuando un investigador de seguridad no notifica al proveedor y revela una vulnerabilidad por completo, la gente se vuelve loca al respecto (esto tweet y todos los artículos que siguen). Tenga en cuenta que no soy un defensor de ninguna de las políticas, simplemente estoy realizando una investigación lo más objetivamente posible.
¿Alguien sabe si es posible recuperar todas las vulnerabilidades que se publicaron siguiendo una política de divulgación completa? Tal vez alguien ha hecho este trabajo aparentemente tedioso y está dispuesto a compartirlo :) O hay un sitio web / herramienta que no conozco que hace eso precisamente.
Si no, supongo que tendría que mirar cada entrada de vulnerabilidad (para un proveedor determinado, por supuesto), analizar el cronograma de divulgación (si corresponde), averiguar cuándo se emitió el parche, y si la divulgación de vulnerabilidad y el parche la publicación resulta ser el mismo día - > divulgación responsable, y si el lanzamiento del parche está en una fecha posterior - > divulgación completa (o el proveedor superó el plazo de 45 días del CERT, por ejemplo). ¿Pérdida de tiempo? Seguro. ¿Realista? Probablemente no. Pero, ¿serían los resultados precisos en su opinión?
Gracias!