С этого года решили возобновить публикацию информации об обнаруженных в ходе исследований и тестов на проникновение уязвимостях.
http://www.securitylab.ru/lab/
В 2006 году, в связи с рядом причин, было решено переложить бремя публикации обработки уязвимостей на вендора и приостановить публикацию ранее найденных проблем (http://www.ptsecurity.ru/advisory.asp). Однако многие заказчики просят содействовать в устранении уязвимостей в программах третьих производителей, в связи с чем, пришлось возобновить процесс.
Наиболее интересной проблемой из текущих (по моему мнению) является набор уязвимостей в VMWare, которые позволяют "выйти" из гостевой операционной системы на узловую. Причем сразу в kernel.
Персонально я в свое время побаловался с разными методами устранения уязвимостей в продуктах третьих производителей, от экстремизма Full-Disclosure до продажи уязвимостей на «белом» рынке, например iDefense (http://labs.idefense.com/vcp/). Некоторые соображения по этим вопросам доступны здесь:
http://www.securitylab.ru/analytics/241826.php
5 комментариев:
Недавно дсек, теперь и вы начали. Тенденция, однако :) Что выгодно отличает от тех же дсековцев, так это использование cvss для категорирования уязвимостей. Думаю, что и они в итоге к этому придут.Почему кстати временные метрики не используете?
А нет, гоню...используете, но не везде.
Позволю себе не согласиться с "Сначала Dsec". Они начали публикацию уязвимостей на 3 года позже.
http://www.ptsecurity.ru/advisory.asp
Первая запись:
Многочисленные уязвимости типа Cross Site Scripting и HTTP Response Splitting в DCP-Portal
Дата: 28.08.2004
http://www.dsecrg.ru/pages/vul/?page=3
Первая запись:
25.12.2007 [DSECRG-07-001] RunCMS 1.6 - Множественные уязвимости (LFI,SQL,XSS)
А CVSS Temp Score публикуем после выхода патча. Хотя, наверное стоит поддерживать и для неустраненных.
Пенто а тебе тоже ничего не мешает это публиковать :)
>>Пенто а тебе тоже ничего не мешает
При релизе через Seclab мы берем на себя работу с CVE, редактуру и списки рассылки. Welcome!
Отправить комментарий