Erklärung zum CNA-Geltungsbereich

Bei MITRE im Rahmen des CNA-Antrags gestellt, im selben Antrag wie die gadvisory.org-Klausel. Entscheidung steht aus.

Die Koordinierung findet ohnehin hier statt. Der Nachweis, der Kontakt zum Hersteller, die Einstufung und der Offenlegungstermin liegen bei dem, der die Arbeit gemacht hat, und die Kennung muss heute bei einer CNA beantragt werden, der nichts davon vorliegt. Die Klausel würde die Nummer dorthin legen, wo koordiniert wird. Mehr wird über fremde Produkte nicht beansprucht.

Der Fund wird so oder so bearbeitet, und zwar auf demselben Weg wie bisher. Gelhaus Solutions nimmt Kontakt zum Hersteller auf, schreibt das Advisory und veröffentlicht es auf gadvisory.org unter einer eigenen Advisory-Kennung. Dafür braucht es niemandes Erlaubnis. Die CVE wird bei der CNA des Produkts beantragt, wo es eine gibt, und bei der CNA of Last Resort, wo es keine gibt; Gelhaus Solutions steht dann als meldende, nicht als zuweisende Stelle im Datensatz. Wenn Sie etwas in fremder Software gefunden haben und Hilfe möchten, es zu den Leuten zu bringen, die es beheben können: Dieses Angebot gilt heute und hängt hiervon nicht ab.

Es ist eine Klausel darüber, wer eine Kennung vergibt, und nichts darüber hinaus. Behebung, Zeitplan und die Entscheidung über die Veröffentlichung bleiben beim Hersteller der betroffenen Software. Die Fristen in der Offenlegungsrichtlinie sind Zusagen für die Produkte im Geltungsbereich oben, nicht für fremden Code. Und ein Produkt, dessen Hersteller eine eigene CNA betreibt, bleibt bei dieser CNA, ganz gleich wer die Schwachstelle gefunden hat.

Bei MITRE im Rahmen des CNA-Antrags gestellt. Entscheidung steht aus.

GAdvisory hält für diese Projekte bereits den gesamten Datensatz: Die Maintainer haben sie aufgenommen, das Advisory wird dort verfasst, geprüft und veröffentlicht. Einzig die Kennung muss von anderswo kommen, was ein Advisory auf zwei Stellen aufteilt und die Maintainer der fehlenden Hälfte hinterherlaufen lässt. Die Klausel würde diese Lücke schließen, und nur für Maintainer, die darum bitten.

Bis es eine Antwort gibt, liegt das nicht im Geltungsbereich und fehlt in der Erklärung oben bewusst. Ein auf gadvisory.org aufgenommenes Projekt Dritter kann sein Advisory schon heute dort hosten und veröffentlichen lassen (dafür braucht es niemandes Erlaubnis), aber die Kennung muss weiterhin von der eigenen CNA des Projekts kommen, oder von der CNA of Last Resort, wo es keine hat.

Die Aufnahme eines Projekts würde es für sich genommen nicht in den Geltungsbereich bringen: Die Maintainer müssen darum bitten, je Projekt, und sie können es wieder lassen. Das Hosten eines Advisories auf gadvisory.org überträgt nichts und bedeutet nichts: Ein Projekt, dessen Hersteller eine eigene CNA betreibt, behält sie, und für Kunden von GPlatform Advisory gilt diese Klausel zu genau denselben Bedingungen wie für alle, die selbst hosten: nämlich noch nicht.