El mes pasado informé un problema de seguridad a Adobe a través de un correo electrónico cifrado con PGP. Recibí el correo electrónico de confirmación, pero no hay respuesta más allá de eso. Revisé la página " Alerte con nosotros " y le dije que tenía que enviar un archivo de prueba de concepto. En mi correo electrónico, acabo de decir lo que estaba mal y cómo llegar al exploit. ¿Lo informé de manera incorrecta?
Un PoC o Prueba de concepto proporciona un ejemplo de trabajo de la vulnerabilidad que se está explotando. Los PoC se proporcionan para dar ejemplos concretos de, bueno, el concepto. Por ejemplo, puedo decir que tengo XSS en una aplicación web, puedo señalar el parámetro que se pasa en la URL, pero el PoC proporciona un ejemplo de trabajo del XSS.
Esto es importante por algunas razones. Uno, proporciona credibilidad a las reclamaciones de seguridad. Dos, proporciona a los desarrolladores que tienen que encontrar y solucionar el problema un caso de prueba para que puedan rastrear el problema y validar la solución. Tres, es un buen uso del tiempo de todos, el tuyo y el de ellos, para tener un PoC.
Una cosa que hay que tener en cuenta acerca de los PoC es que no son explotaciones completas, sino un ejemplo de lo que se puede hacer. En el XSS anterior, un PoC sería alert(document.domain) para mostrar que tengo control sobre el DOM. En los desbordamientos de búfer, un PoC obtendría que el EIP apunte a 41414141.
¿Lo informé de manera incorrecta? Siguiendo el enlace que mencionó, me llevó a aquí . Así que prefiero sentir que hiciste esto:
Al enviar una vulnerabilidad, proporcione pasos concisos para Reproducir que se entiendan fácilmente.
Usted explicó la vulnerabilidad, pero una explicación clara y precisa no es suficiente, ya que puede leer el segundo elemento de su enlace :
Envíe el informe con un archivo de prueba de concepto a [email protected] (PGP clave disponible aquí ).
La definición de un POC en Wikipedia es imprecisa, así que descuelgo la de Wikiversity :
Evidencia que demuestra que una idea o modelo de negocio es viable
Esta evidencia puede ser un programa que desarrolles para realizar los pasos que explicaste que muestran la vulnerabilidad. Winzapper es un software gratuito desarrollado como un POC.
En palabras sencillas: puedes explicar que es posible hornear un pastel dulce siguiendo un método determinado. En ese caso, un POC consistirá en hornear por ti mismo una (o más) torta siguiendo el método descrito.
Lea otras preguntas en las etiquetas incident-response