我最近报告了一个安全漏洞，它已被修补。补丁（和相关问题）都在 Github 存储库（又名公开）中公开。我联系了 cve-assign@mitre.org 以获得针对该漏洞发布的 CVE 标识符。我已获得 CVE 标识符。
我是否需要做任何其他事情（例如提供概念证明代码等），或者我完成了吗？
获得 CVE 后该怎么办？
信息安全
披露
cve
2021-08-17 19:10:55
1个回答
鉴于您已经引用了 Github，我将假设这与某种类型的开源项目有关，对oss-sec的注释是一个好主意。这将引起大多数上游分销商的注意。
您不需要订阅 oss-sec 的帖子，但您应该仔细注意上面链接中的礼仪/内容指南。翻阅档案应该为您指明正确的方向，这是最近发布的（来自列表维护者），您可以有效地复制其形式： http: //seclists.org/oss-sec/2015/q3/ 61
NIST国家漏洞数据库由CVE 数据驱动，应该在不久的将来更新，但他们没有建议可能需要多长时间。NVD 常见问题解答也有一些有用的细节，包括丢失或不正确条目的联系程序。我建议在您发布到 oss-sec 之后至少给它两周（基于经验证据），然后再跟进，但 CVE 人员往往很忙。