搜索

[2687] 2016-03-14_CVE系统遭遇大量漏洞积压，研究人员提出替代方案

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2016-03-14_CVE系统遭遇大量漏洞积压，研究人员提出替代方案 C V E 系 统 遭 遇 大 量 漏 洞 积 压 ， 研 究 人 员 提 出 替 代 方 案 原 创   E 安 全   E 安 全   2 0 1 6 - 0 3 - 1 4 有 观 点 指 出 ， 有 观 点 指 出 ， M I T R E 的 的 C V E 系 统 并 未 成 功 将 系 统 并 未 成 功 将 C V E 标 识 分 配 给 全 部 已 报 告 的 安 全 漏 洞 。 标 识 分 配 给 全 部 已 报 告 的 安 全 漏 洞 。 作 为 负 责 管 理 通 用 漏 洞 披 露 （ 简 称 C V E ） 数 据 库 的 非 营 利 性 机 构 ， M I T R E 公 司 正 遭 遇 “ 前 所 未 有 的 安 全 漏 洞 I D 需 求 ” ， 并 开 始 着 眼 于 新 型 解 决 方 案 以 加 快 C V E 数 字 分 配 流 程 。 C V E 系 统 正 是 大 多 数 信 息 安 全 社 区 所 围 绕 的 核 心 运 作 重 点 。 每 当 有 安 全 研 究 人 员 发 现 一 项 安 全 漏 洞 ， 其 都 会 向 M I T R E 方 面 发 送 一 条 请 求 ， 旨 在 为 其 申 请 一 条 对 应 的 C V E 标 识 。 C V E   I D 绝 不 仅 仅 是 被 添 加 至 数 据 库 当 中 的 简 单 数 字 。 在 信 息 安 全 领 域 ， 它 同 时 也 代 表 着 研 究 人 员 的 工 作 成 果 、 其 发 现 内 容 甚 至 有 时 还 能 够 帮 助 修 复 某 项 危 险 的 软 件 漏 洞 。 我 们 可 以 将 C V E 编 号 视 为 一 种 “ 宣 传 标 签 ” ， 很 多 安 全 人 员 会 保 留 其 评 分 并 与 其 他 从 业 者 进 行 比 对 。
M I T R E 的 的 C V E 积 压 问 题 令 信 息 安 全 行 业 备 感 烦 恼 积 压 问 题 令 信 息 安 全 行 业 备 感 烦 恼 最 近 几 个 月 以 来 ， 越 来 越 多 的 安 全 研 究 人 员 开 始 对 M I T R E 有 所 埋 怨 ， 更 确 切 地 说 ， 其 越 来 越 庞 大 的 C V E 编 号 令 研 究 人 员 难 于 应 对 。 这 个 问 题 已 经 在 多 次 以 安 全 为 主 题 的 对 话 当 中 被 反 复 提 及 ， 另 外 多 位 专 家 亦 表 达 了 自 己 的 不 满 情 绪 。 部 分 研 究 人 员 表 示 ， 他 们 已 经 经 历 了 长 达 数 月 的 等 待 ， 而 自 己 所 发 现 的 安 全 漏 洞 仍 然 没 能 被 登 记 在 案 。 另 一 部 分 研 究 人 员 则 宣 称 他 们 已 经 放 弃 ， 并 最 终 在 不 具 备 对 应 C V E 编 号 的 前 提 下 发 布 了 自 己 的 成 果 。 而 另 一 大 问 题 在 于 ， 各 政 府 机 构 及 跨 国 企 业 往 往 不 会 对 不 具 备 C V E 标 识 的 安 全 漏 洞 加 以 解 决 。 部 分 较 为 偏 执 的 用 户 甚 至 开 始 提 出 某 些 阴 谋 论 观 点 ， 认 为 认 为 M I T R E 可 能 与 政 府 勾 结 以 限 制 各 企 业 及 组 织 对 自 身 系 统 的 更 可 能 与 政 府 勾 结 以 限 制 各 企 业 及 组 织 对 自 身 系 统 的 更 新 速 度 。 没 有 新 速 度 。 没 有 C V E   I D 即 不 具 备 合 法 的 更 新 条 件 ， 这 意 味 着 客 户 将 不 可 避 免 地 面 临 数 据 泄 露 威 胁 。 即 不 具 备 合 法 的 更 新 条 件 ， 这 意 味 着 客 户 将 不 可 避 免 地 面 临 数 据 泄 露 威 胁 。 当 然 ， 这 也 仅 仅 只 是 一 种 理 论 或 者 说 猜 测 。 与 法 务 相 关 的 事 情 总 是 相 当 麻 烦 ， 而 且 看 起 来 各 企 业 也 在 努 力 跟 上 市 场 提 出 的 实 际 需 求 。
那 么 这 种 积 压 状 况 是 否 会 给 物 联 网 的 普 及 造 成 影 响 ？ 那 么 这 种 积 压 状 况 是 否 会 给 物 联 网 的 普 及 造 成 影 响 ？ 目 前 最 为 明 确 的 回 应 是 ， 最 近 一 年 中 出 现 的 各 类 互 联 网 连 接 （ 简 称 物 联 网 ） 设 备 大 多 存 在 严 重 的 安 全 问 题 ， 带 来 数 量 可 观 的 B u g — — 但 M I T R E 一 直 未 能 及 时 跟 进 。 M I T R E 人 员 不 仅 需 要 为 安 全 报 告 分 配 编 号 并 将 其 记 录 至 数 据 库 当 中 ， 同 时 也 需 要 与 相 关 供 应 商 联 系 并 评 估 安 全 漏 洞 以 计 算 严 重 程 度 评 分 。 随 着 越 来 越 多 B u g 报 告 的 不 断 涌 入 ， 这 种 处 理 能 力 匮 乏 所 引 发 的 问 题 也 早 在 意 料 之 中 。 M I T R E 自 身 自 然 也 注 意 到 了 这 一 问 题 ， M I T R E 董 事 会 成 员 兼 红 帽 公 司 安 全 专 家 K u r t   S e i f r i e d 就 启 动 了 一 套 类 似 于 C V E 的 系 统 ， 名 为 分 布 式 弱 点 备 案 （ D i s t r i b u t e d W e a k n e s s   F i l i n g ， 简 称 D W F ） 。 随 着 大 多 数 必 要 的 D W F 代 码 已 经 被 上 传 至 G i t H u b 当 中 ， 再 加 上 安 全 行 业 普 遍 对 于 M I T R E 的 表 现 感 到 失 望 ， S e i f i r e d 似 乎 正 在 静 待 M I T R E 方 面 的 下 一 步 动 作 ， 从 而 决 定 D W F 未 来 将 如 何 发 展 。
M I T R E 最 终 承 认 了 这 一 问 题 最 终 承 认 了 这 一 问 题 根 据 M I T R E 官 方 网 站 上 的 一 篇 文 章 ， 事 情 终 于 开 始 向 着 正 确 的 方 向 推 进 。 以 下 消 息 来 自 上 周 C V E 网 站 的 发 表 内 容 ： “ C V E 正 面 临 着 前 所 未 有 的 安 全 漏 洞 I D 需 求 。 我 们 期 待 着 能 够 与 C V E 委 员 会 以 及 更 为 广 泛 的 漏 洞 管 理 社 区 开 展 协 作 ， 从 而 显 著 改 进 相 关 人 员 间 的 沟 通 ， 同 时 提 升 C V E 运 作 规 模 以 缩 短 I D 分 配 时 间 并 提 高 产 品 覆 盖 范 围 。 相 关 进 展 细 节 将 被 发 布 在 h t t p : / / c v e . m i t r e . o r g / 当 中 。 ” 就 目 前 来 看 ， M I T R E 似 乎 已 经 意 识 到 其 所 处 的 危 险 境 地 。 这 种 状 况 与 J o y e n t 的 状 况 非 常 相 似 ， 该 公 司 正 管 理 着 N o d e . j s 以 及 N o d e . j s 社 区 。 该 社 区 希 望 J o y e n t 能 够 进 一 步 推 动 N o d e . j s 发 展 并 为 其 添 加 更 多 新 特 性 ， 但 在 经 历 了 数 个 月 的 等 待 且 J o y e n t 方 面 满 足 了 其 要 求 后 ， 社 区 又 将 N o d e . j s   f o r k 为 i o . j s 并 开 始 制 定 自 己 的 发 展 规 划 。 这 两 个 项 目 最 终 重 新 合 并 ， 但 i o . j s 开 发 人 员 仍 然 令 J o y e n t 头 痛 不 已 。 一 般 来 讲 ， 完 全 依 从 大 型 社 区 的 意 见 往 往 不 是 什 么 好 主 意 。 不 过 着 眼 于 当 前 情 况 ， 安 全 研 究 人 员 想 要 的 只 是 更 快 的 审 查 速 度 而 非 其 它 诉 求 ， 因 此 M I T R E 应 该 有 办 法 拿 出 便 捷 可 行 的 解 决 方 案 。 否 则 ， 一 旦 C V E 失 去 人 心 并 最 终 被 D W F 所 取 代 ， 那 么 M I T R E 必 然 会 为 万 夫 所 指 。 E 安 全 / 文   转 载 请 注 明 E 安 全 E 安 全 — — 全 球 网 络 安 全 新 传 媒 E 安 全 微 信 公 众 号 安 全 微 信 公 众 号 ：   E A Q a p p E 安 全 新 浪 微 博 安 全 新 浪 微 博 ： E A Q a p p E 安 全 安 全 P C 站 点 站 点 ： w w w . e a s y a q . c o m E 安 全 客 服 安 全 客 服 & 投 稿 邮 箱 投 稿 邮 箱 ： e a p p @ e a s y a q . c o m
点 击 下 方 ” 阅 读 原 文 阅 读 原 文 “ 即 可 下 载 安 装 E 安 全 a p p 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理