Como a gravidade / prioridade de uma vulnerabilidade no rastreador do CVE do Ubuntu é determinada?

2

Por exemplo, CVE-2017-14491 tem um nível de prioridade "alto".

Existe algum método formal para determinar a prioridade desta vulnerabilidade (exclusiva da Canonical)? Ou essa prioridade é baseada na divulgação de outros fornecedores?

    
por Sajuuk 11.10.2017 / 06:19

1 resposta

0

A página wiki da Equipe de Segurança do Ubuntu sobre Triagem de Bug diz que os níveis de prioridade são descritos em ubuntu-cve-tracker README , onde você pode ver isto:

  

Prioridades do Ubuntu

     

Estas são muito semelhantes às prioridades do Debian, mas com algumas   diferenças. As prioridades podem ser mapeadas como:

     

insignificante Algo que é tecnicamente um problema de segurança, mas   é apenas de natureza teórica, requer uma situação muito especial,   quase não tem base de instalação, ou não causa danos reais. Estes não tendem   para obter backport de upstreams, e provavelmente não será incluído no   atualizações de segurança, a menos que haja uma correção fácil e algum outro problema   causa uma atualização.

     

low Algo que é um problema de segurança, mas é difícil         explorar devido ao ambiente, requer um ataque assistido pelo usuário, um   pequena base de instalação, ou faz muito pouco dano. Estes tendem a ser   incluído em atualizações de segurança somente quando problemas de prioridade mais alta   exigir uma atualização ou se muitos problemas de baixa prioridade foram construídos.

     

medium Algo é um problema real de segurança e é explorável         para muitas pessoas. Inclui a negação de serviço do daemon de rede         ataques, cross-site scripting e ganhando privilégios de usuário.         Atualizações devem ser feitas em breve para esta prioridade de emissão.

     

alto Um problema real, explorável para muitas pessoas em um padrão         instalação. Inclui grave negação remota de serviços, local   escalações de privilégios de raiz ou perda de dados.

     

crítico Um problema de queima do mundo, explorável por quase todos   pessoas em uma instalação padrão do Ubuntu. Inclui raiz remota                   escalações de privilégios ou perda massiva de dados.

O CVE-2017-14491 tem alta prioridade porque o dnsmasq é instalado por padrão e o bug permite tanto a negação de serviço quanto a execução de código remotamente e não é particularmente difícil de explorar.

    
por muru 11.10.2017 / 06:35