je ne sais pas bien ce que ca vaut, mais ca semble marcher, dans l'ensemble.
Le blog de Daniel Stenberg, auteur du célèbre outil curl, critique la façon dont la base de données des CVE (Common Vulnerabilities and Exposures) est gérée. Il prend l'exemple de la CVE-2020-19909, une vulnérabilité critique dans l'outil curl qui a été découverte en 2020.
Stenberg estime que cette vulnérabilité est un exemple de tout ce qui ne va pas avec les CVE. Tout d'abord, la vulnérabilité a été découverte par un chercheur indépendant, mais elle a mis plusieurs mois à être attribuée à un correctif. Pendant ce temps, les utilisateurs de curl étaient vulnérables à une attaque.
Deuxièmement, la CVE-2020-19909 a été attribuée à une version spécifique de curl, mais elle existait également dans des versions antérieures. Cela a rendu difficile pour les utilisateurs de déterminer si leur installation était vulnérable.
Enfin, Stenberg critique la façon dont la CVE-2020-19909 a été documentée. La description de la vulnérabilité est longue et complexe, ce qui la rend difficile à comprendre pour les utilisateurs non experts.
Stenberg propose plusieurs solutions pour améliorer la gestion des CVE. Il suggère notamment de réduire le temps nécessaire pour l'attribution d'une CVE, d'étendre la documentation des vulnérabilités et de rendre le processus d'attribution plus transparent.
Voici un résumé des principales critiques de Stenberg :
Les CVE ne sont pas toujours attribuées rapidement, ce qui laisse les utilisateurs vulnérables pendant un certain temps.
Les CVE ne sont pas toujours documentées de manière claire et concise, ce qui rend difficile pour les utilisateurs de comprendre la nature de la vulnérabilité.
Le processus d'attribution des CVE est opaque et ne donne pas toujours une image claire de la nature de la vulnérabilité.
Stenberg espère que ses critiques contribueront à améliorer la gestion des CVE et à protéger les utilisateurs contre les vulnérabilités de sécurité.
# traduction et résumé auto
Posté par Marc Quinton . En réponse au lien [curl] CVE-2020-19909 is everything that is wrong with CVEs. Évalué à -10.
je ne sais pas bien ce que ca vaut, mais ca semble marcher, dans l'ensemble.
Le blog de Daniel Stenberg, auteur du célèbre outil curl, critique la façon dont la base de données des CVE (Common Vulnerabilities and Exposures) est gérée. Il prend l'exemple de la CVE-2020-19909, une vulnérabilité critique dans l'outil curl qui a été découverte en 2020.
Stenberg estime que cette vulnérabilité est un exemple de tout ce qui ne va pas avec les CVE. Tout d'abord, la vulnérabilité a été découverte par un chercheur indépendant, mais elle a mis plusieurs mois à être attribuée à un correctif. Pendant ce temps, les utilisateurs de curl étaient vulnérables à une attaque.
Deuxièmement, la CVE-2020-19909 a été attribuée à une version spécifique de curl, mais elle existait également dans des versions antérieures. Cela a rendu difficile pour les utilisateurs de déterminer si leur installation était vulnérable.
Enfin, Stenberg critique la façon dont la CVE-2020-19909 a été documentée. La description de la vulnérabilité est longue et complexe, ce qui la rend difficile à comprendre pour les utilisateurs non experts.
Stenberg propose plusieurs solutions pour améliorer la gestion des CVE. Il suggère notamment de réduire le temps nécessaire pour l'attribution d'une CVE, d'étendre la documentation des vulnérabilités et de rendre le processus d'attribution plus transparent.
Voici un résumé des principales critiques de Stenberg :
Stenberg espère que ses critiques contribueront à améliorer la gestion des CVE et à protéger les utilisateurs contre les vulnérabilités de sécurité.
Cordialement,
Bard