Как определяется степень / приоритет уязвимости в трекеру Ubuntu CVE?

Question 1

Например, CVE-2017-14491 имеет уровень приоритета «высокий».

Существует ли какой-либо формальный метод определения приоритета этой уязвимости (уникальной для Canonical)? Или этот приоритет основан на раскрытии других поставщиков?

Question 2

Вики-страница команды Ubuntu Security Team по Bug Triage говорит, что уровни приоритета описаны в README ubuntu-cve-tracker, где вы можете увидеть это:

Приоритеты Ubuntu Они очень похожи на приоритеты Debian, но с некоторыми отличиями. Приоритеты могут быть грубо отображены как: незначительные. Что-то, что технически является проблемой безопасности, но носит только теоретический характер, требует особой ситуации, почти не имеет базы установки или не наносит реального ущерба. Они, как правило, не получают backport из восходящего потока и, скорее всего, не будут включены в обновления безопасности, если нет простого исправления, а некоторые другие проблемы приводят к обновлению. low Что-то, что является проблемой безопасности, но трудно использовать из-за окружающей среды, требует атаки с помощью пользователя, небольшой базы установки или очень мало урона. Они, как правило, включаются в обновления безопасности только тогда, когда проблемы с более высоким приоритетом требуют обновления или возникают проблемы с низким приоритетом. medium Что-то является реальной проблемой безопасности и доступно для многих людей. Включает атаки демона сетевых демонах, межсайтовый скриптинг и получение пользовательских привилегий. Обновления должны быть сделаны в ближайшее время для этого приоритета проблемы. high Реальная проблема, доступная для многих людей при установке по умолчанию. Включает серьезный удаленный отказ в обслуживании, эскалацию локальных корневых привилегий или потерю данных. критически важная проблема с глобальным потоком, пригодная для почти всех людей при установке Ubuntu по умолчанию. Включает эскалацию удаленных корневых привилегий или массивную потерю данных.

CVE-2017-14491 имеет высокий приоритет, поскольку по умолчанию установлен dnsmasq, и ошибка позволяет удаленно выполнять отказ в обслуживании и выполнении кода и не особенно сложно использовать.

Question 3

Question 4

Вики-страница команды Ubuntu Security Team по Bug Triage говорит, что уровни приоритета описаны в README ubuntu-cve-tracker, где вы можете увидеть это:

Приоритеты Ubuntu Они очень похожи на приоритеты Debian, но с некоторыми отличиями. Приоритеты могут быть грубо отображены как: незначительные. Что-то, что технически является проблемой безопасности, но носит только теоретический характер, требует особой ситуации, почти не имеет базы установки или не наносит реального ущерба. Они, как правило, не получают backport из восходящего потока и, скорее всего, не будут включены в обновления безопасности, если нет простого исправления, а некоторые другие проблемы приводят к обновлению. low Что-то, что является проблемой безопасности, но трудно использовать из-за окружающей среды, требует атаки с помощью пользователя, небольшой базы установки или очень мало урона. Они, как правило, включаются в обновления безопасности только тогда, когда проблемы с более высоким приоритетом требуют обновления или возникают проблемы с низким приоритетом. medium Что-то является реальной проблемой безопасности и доступно для многих людей. Включает атаки демона сетевых демонах, межсайтовый скриптинг и получение пользовательских привилегий. Обновления должны быть сделаны в ближайшее время для этого приоритета проблемы. high Реальная проблема, доступная для многих людей при установке по умолчанию. Включает серьезный удаленный отказ в обслуживании, эскалацию локальных корневых привилегий или потерю данных. критически важная проблема с глобальным потоком, пригодная для почти всех людей при установке Ubuntu по умолчанию. Включает эскалацию удаленных корневых привилегий или массивную потерю данных.

CVE-2017-14491 имеет высокий приоритет, поскольку по умолчанию установлен dnsmasq, и ошибка позволяет удаленно выполнять отказ в обслуживании и выполнении кода и не особенно сложно использовать.

Question 5

Вики-страница команды Ubuntu Security Team по Bug Triage говорит, что уровни приоритета описаны в README ubuntu-cve-tracker, где вы можете увидеть это:

Приоритеты Ubuntu Они очень похожи на приоритеты Debian, но с некоторыми отличиями. Приоритеты могут быть грубо отображены как: незначительные. Что-то, что технически является проблемой безопасности, но носит только теоретический характер, требует особой ситуации, почти не имеет базы установки или не наносит реального ущерба. Они, как правило, не получают backport из восходящего потока и, скорее всего, не будут включены в обновления безопасности, если нет простого исправления, а некоторые другие проблемы приводят к обновлению. low Что-то, что является проблемой безопасности, но трудно использовать из-за окружающей среды, требует атаки с помощью пользователя, небольшой базы установки или очень мало урона. Они, как правило, включаются в обновления безопасности только тогда, когда проблемы с более высоким приоритетом требуют обновления или возникают проблемы с низким приоритетом. medium Что-то является реальной проблемой безопасности и доступно для многих людей. Включает атаки демона сетевых демонах, межсайтовый скриптинг и получение пользовательских привилегий. Обновления должны быть сделаны в ближайшее время для этого приоритета проблемы. high Реальная проблема, доступная для многих людей при установке по умолчанию. Включает серьезный удаленный отказ в обслуживании, эскалацию локальных корневых привилегий или потерю данных. критически важная проблема с глобальным потоком, пригодная для почти всех людей при установке Ubuntu по умолчанию. Включает эскалацию удаленных корневых привилегий или массивную потерю данных.

CVE-2017-14491 имеет высокий приоритет, поскольку по умолчанию установлен dnsmasq, и ошибка позволяет удаленно выполнять отказ в обслуживании и выполнении кода и не особенно сложно использовать.

muru · Accepted Answer · 22 May 2018 в 17:40

Вики-страница команды Ubuntu Security Team по Bug Triage говорит, что уровни приоритета описаны в README ubuntu-cve-tracker, где вы можете увидеть это:

Приоритеты Ubuntu Они очень похожи на приоритеты Debian, но с некоторыми отличиями. Приоритеты могут быть грубо отображены как: незначительные. Что-то, что технически является проблемой безопасности, но носит только теоретический характер, требует особой ситуации, почти не имеет базы установки или не наносит реального ущерба. Они, как правило, не получают backport из восходящего потока и, скорее всего, не будут включены в обновления безопасности, если нет простого исправления, а некоторые другие проблемы приводят к обновлению. low Что-то, что является проблемой безопасности, но трудно использовать из-за окружающей среды, требует атаки с помощью пользователя, небольшой базы установки или очень мало урона. Они, как правило, включаются в обновления безопасности только тогда, когда проблемы с более высоким приоритетом требуют обновления или возникают проблемы с низким приоритетом. medium Что-то является реальной проблемой безопасности и доступно для многих людей. Включает атаки демона сетевых демонах, межсайтовый скриптинг и получение пользовательских привилегий. Обновления должны быть сделаны в ближайшее время для этого приоритета проблемы. high Реальная проблема, доступная для многих людей при установке по умолчанию. Включает серьезный удаленный отказ в обслуживании, эскалацию локальных корневых привилегий или потерю данных. критически важная проблема с глобальным потоком, пригодная для почти всех людей при установке Ubuntu по умолчанию. Включает эскалацию удаленных корневых привилегий или массивную потерю данных.

CVE-2017-14491 имеет высокий приоритет, поскольку по умолчанию установлен dnsmasq, и ошибка позволяет удаленно выполнять отказ в обслуживании и выполнении кода и не особенно сложно использовать.

Я думаю, что тот факт, что существуют множественные стандарты приоритета / серьезности, такие как Redhat's и NVD, очень запутывают и потенциально вводят в заблуждение для некоторых из администраторов безопасности — Sajuuk, 11 October 2017 в 09:30

muru · Accepted Answer · 18 July 2018 в 05:29

Вики-страница команды Ubuntu Security Team по Bug Triage говорит, что уровни приоритета описаны в README ubuntu-cve-tracker, где вы можете увидеть это:

Приоритеты Ubuntu Они очень похожи на приоритеты Debian, но с некоторыми отличиями. Приоритеты могут быть грубо отображены как: незначительные. Что-то, что технически является проблемой безопасности, но носит только теоретический характер, требует особой ситуации, почти не имеет базы установки или не наносит реального ущерба. Они, как правило, не получают backport из восходящего потока и, скорее всего, не будут включены в обновления безопасности, если нет простого исправления, а некоторые другие проблемы приводят к обновлению. low Что-то, что является проблемой безопасности, но трудно использовать из-за окружающей среды, требует атаки с помощью пользователя, небольшой базы установки или очень мало урона. Они, как правило, включаются в обновления безопасности только тогда, когда проблемы с более высоким приоритетом требуют обновления или возникают проблемы с низким приоритетом. medium Что-то является реальной проблемой безопасности и доступно для многих людей. Включает атаки демона сетевых демонах, межсайтовый скриптинг и получение пользовательских привилегий. Обновления должны быть сделаны в ближайшее время для этого приоритета проблемы. high Реальная проблема, доступная для многих людей при установке по умолчанию. Включает серьезный удаленный отказ в обслуживании, эскалацию локальных корневых привилегий или потерю данных. критически важная проблема с глобальным потоком, пригодная для почти всех людей при установке Ubuntu по умолчанию. Включает эскалацию удаленных корневых привилегий или массивную потерю данных.

CVE-2017-14491 имеет высокий приоритет, поскольку по умолчанию установлен dnsmasq, и ошибка позволяет удаленно выполнять отказ в обслуживании и выполнении кода и не особенно сложно использовать.

muru · Accepted Answer · 24 July 2018 в 18:20

Вики-страница команды Ubuntu Security Team по Bug Triage говорит, что уровни приоритета описаны в README ubuntu-cve-tracker, где вы можете увидеть это:

Приоритеты Ubuntu Они очень похожи на приоритеты Debian, но с некоторыми отличиями. Приоритеты могут быть грубо отображены как: незначительные. Что-то, что технически является проблемой безопасности, но носит только теоретический характер, требует особой ситуации, почти не имеет базы установки или не наносит реального ущерба. Они, как правило, не получают backport из восходящего потока и, скорее всего, не будут включены в обновления безопасности, если нет простого исправления, а некоторые другие проблемы приводят к обновлению. low Что-то, что является проблемой безопасности, но трудно использовать из-за окружающей среды, требует атаки с помощью пользователя, небольшой базы установки или очень мало урона. Они, как правило, включаются в обновления безопасности только тогда, когда проблемы с более высоким приоритетом требуют обновления или возникают проблемы с низким приоритетом. medium Что-то является реальной проблемой безопасности и доступно для многих людей. Включает атаки демона сетевых демонах, межсайтовый скриптинг и получение пользовательских привилегий. Обновления должны быть сделаны в ближайшее время для этого приоритета проблемы. high Реальная проблема, доступная для многих людей при установке по умолчанию. Включает серьезный удаленный отказ в обслуживании, эскалацию локальных корневых привилегий или потерю данных. критически важная проблема с глобальным потоком, пригодная для почти всех людей при установке Ubuntu по умолчанию. Включает эскалацию удаленных корневых привилегий или массивную потерю данных.

CVE-2017-14491 имеет высокий приоритет, поскольку по умолчанию установлен dnsmasq, и ошибка позволяет удаленно выполнять отказ в обслуживании и выполнении кода и не особенно сложно использовать.

Как определяется степень / приоритет уязвимости в трекеру Ubuntu CVE?

3 ответа

Другие вопросы по тегам:

Похожие вопросы: