Greg Kroah-Hartman bejelentette, hogy Linux kernel projekt CVE Numbering Authority lett

Kernel

Greg Kroah-Hartman bejelentette, hogy a Linux kernel projekt CVE Numbering Authority (CNA) lett a Linux kernelben megtalált bugok vonatkozásában:

As many of you all know, I have talked a lot about CVEs in the past, and yes, I think the system overall is broken in many ways, but this change is a way for us to take more responsibility for this, and hopefully make the process better over time.

Részletek itt. Arról, hogy a folyamat hogyan fog működni itt lehet olvasni.

( trey | 2024. 02. 21., sze – 14:19 )

Nekem a CVE-kel az volt a bajom mindig, hogy rákattintva kb. zéró releváns infóval szolgáltak 80%-ban. Ha ez változni fog ezzel a Linux kernel bugok vonatkozásában (hogy valóban hozzáértők fogják kezelni), akkor welcome.

trey @ gépház

( hzsolt94 v | 2024. 02. 22., cs – 13:36 )

Szerkesztve: 2024. 02. 22., cs – 13:39

Ez két okból is nagyon problémás:

because the possibility of exploitation is often not evident [...], assign CVE numbers to any bugfix

Vagyis szándékosan "elinfláják" a CVE értékét, ha úgy tetszik spamelik a CVE rendszert.

No CVEs will be assigned for unfixed security issues in the Linux kernel, [...]

Vagyis alkalmatlanná tesszük a CVE-ket arra ami a legfontosabb feladatuk lenne, hogy egy aktuálisan használt - akár legfrissebb - szoftver verzióról meg tudjuk becsülni a sebezhetőségét, kockázatát.

 

Összeségében ez sajnos arról szól, hogy a Linux-fejlesztőknek kellemetlenségeket okozott a CVE rendszer létezése, ezért most belülről verik szét. A saját prioritásaikat figyelembe véve, a CVE rendszer felhasználóinak érdekeit és szempontjait az asztalról teljesen lesöpörve alakítják át az egészet.

Közben ezt a részt javították is (https://lore.kernel.org/lkml/2024021446-rosy-citation-0a80@gregkh/):

No CVEs will be automatically assigned for unfixed security issues in
the Linux kernel; assignment will only automatically happen after a fix
is available and applied to a stable kernel tree, and it will be tracked
that way by the git commit id of the original fix.  If anyone wishes to
have a CVE assigned before an issue is resolved with a commit, please
contact the kernel CVE assignment team at <cve@kernel.org> to get an
identifier assigned from their batch of reserved identifiers.