सीवीई आईडी प्राप्त करना

हमारे लेख "Umbraco CMS में CSRF" के प्रकाशन के बाद, हमें CVE प्राप्त करने की प्रक्रिया के बारे में सवालों के साथ कई संदेश मिले। यह आलेख चर्चा करता है कि क्या करना है जब एक विक्रेता अपने उत्पाद में पाए जाने वाले भेद्यता के लिए एक सीवीई सूचकांक निर्दिष्ट करने से इनकार करता है।

खोज की कमजोरियों के साथ काम तीन मुख्य चरणों में किया जाता है:

1. वेंडर अधिसूचना
2. एक पाया भेद्यता की पुष्टि और सुधार
3. सार्वजनिक प्रकटीकरण

उत्पाद में भेद्यता खोजने के बाद, आपको विक्रेता के लिए एक विस्तृत रिपोर्ट बनाने और संपर्क के लिए संपर्क खोजने की आवश्यकता है। यदि विक्रेता के पास उत्पाद सुरक्षा मुद्दों और सार्वजनिक एन्क्रिप्शन कुंजी पर संपर्क हैं, तो आप तुरंत एक पत्र भेज सकते हैं जिसमें एक एन्क्रिप्टेड रिपोर्ट होगी। यह शोधकर्ता के लिए सबसे अच्छा विकल्प है। हालांकि, यह मामला हमेशा नहीं होता है। इसलिए, यदि कोई अलग सुरक्षा संपर्क (और एन्क्रिप्शन कुंजी) नहीं हैं, तो आपको किसी भी सामान्य पते के माध्यम से पत्राचार शुरू करना होगा। पहले पत्र को कमजोरियों की पहचान के बारे में सूचित करना चाहिए, सुरक्षा और जानकारी के लिए जिम्मेदार लोगों के संपर्कों का अनुरोध करना चाहिए कि रिपोर्ट को संरक्षित रूप में कैसे भेजा जाए। हालांकि, कभी-कभी विक्रेता के प्रतिनिधि बिना किसी एन्क्रिप्शन के रिपोर्ट भेजने के लिए कह सकते हैं।
प्रत्येक पत्र को समय सीमा का संकेत देना चाहिए, जिसके बाद भेद्यता के बारे में जानकारी का सार्वजनिक प्रकटीकरण होगा (पहले संपर्क की तारीख से 4 महीने से अधिक नहीं)।

यह आपको इसे प्रकाशित करने की अनुमति देगा भले ही विक्रेता पत्रों का जवाब नहीं देता (तुरंत या कुछ समय बाद)।

प्रत्येक मामले में सार्वजनिक प्रकटीकरण अलग-अलग तरीकों से किया जा सकता है: यह सब भेद्यता की महत्वपूर्णता और परिमाण पर निर्भर करता है। लेकिन यह इस लेख के दायरे से परे है।

रिपोर्ट में निम्नलिखित भाग हैं:

• शीर्षक (भेद्यता का नाम)
• वह उत्पाद जिसमें भेद्यता की खोज की गई थी
• कमजोर उत्पादों के संस्करण (या संस्करण)
• सीवीएसएस खतरे की रेटिंग (और / या महत्वपूर्ण से कम)
• खोज की तारीख
• भेद्यता विवरण
• ऑपरेशन उदाहरण (अवधारणा का प्रमाण)
• सुधार के लिए सिफारिशें

सबसे अधिक बार, विक्रेता संपर्क बनाता है और थोड़ी देर के बाद भेद्यता को ठीक करने की समय सीमा की रिपोर्ट करता है। संयुक्त रूप से निर्धारित और सार्वजनिक प्रकटीकरण की तारीख, जो पहले संकेतित समय सीमा से भिन्न हो सकती है। कभी-कभी आप पहले जानकारी प्रकाशित कर सकते हैं, लेकिन ज्यादातर मामलों में, विक्रेता अधिक समय मांगता है।

यह इस बिंदु पर है कि आपको प्रकाशन में जोड़ने के लिए CVE पहचानकर्ता प्राप्त करने की आवश्यकता है।

प्रक्रिया पर अधिक विस्तार से विचार करें।
सिद्धांत में पहचानकर्ता को कमजोर उत्पाद के डेवलपर द्वारा सौंपा जाना चाहिए। लेकिन हमेशा ऐसा नहीं होता है। ऐसे मामलों में, शोधकर्ता अपने दम पर सीवीई प्राप्त करने में सक्षम होगा। ऐसा करने के लिए, आपको साइट पर जाने की जरूरत है और निम्नलिखित फ़ॉर्म को वहां खोजना होगा:



अनुरोध प्रकार में, "सीवीई आईडी का अनुरोध करें" चुनें और सभी फ़ील्ड भरें।

MITER में एक उत्कृष्ट FAQ है जो फॉर्म भरने में मदद करेगा।

निर्दिष्ट ईमेल पते को भरने के बाद एक स्वचालित प्रतिक्रिया आती है जिसमें अनुरोध संख्या होती है। इसे और संचार में उपयोग किया जाना चाहिए:



एक दिन के बाद, सीवीई पहचानकर्ता प्राप्त किया जा सकता है:



विजय! कमजोरियों की जानकारी सभी प्रासंगिक विवरणों के साथ प्रकाशित की जा सकती है, जिसमें सीवीई पहचानकर्ता भी शामिल है।

प्रश्न पूछें और टिप्पणियों में और हमारे फेसबुक समूह में अपने अनुभव साझा करें !