Cómo Solicitar Un Cambio en Un Registro CVE

En el mundo de la seguridad informática, el seguimiento y gestión de vulnerabilidades en el software es esencial. Un sistema ampliamente utilizado para esta labor es el de los Common Vulnerabilities and Exposures (CVE), que asigna identificadores únicos a cada vulnerabilidad descubierta, permitiendo un seguimiento y atención adecuada.

Cuando una dependencia vulnerable afecta un software en uso, se puede crear un aviso de seguridad en el repositorio correspondiente para alertar a otros. Sin embargo, para que la información alcance la fuente más adecuada, es necesario contactar con la Autoridad de Numeración de CVE (CNA, por sus siglas en inglés) que emitió el ID de la vulnerabilidad.

GitHub, miembro de una comunidad de más de 400 CNAs, desempeña un papel crucial en este proceso, especialmente cuando es responsable de emitir un CVE. Mediante una serie de pasos, los interesados pueden identificar el CNA adecuado y ofrecer el contexto necesario para mejorar la información sobre una vulnerabilidad dada.

El primer paso para mejorar la información de un CVE es identificar la CNA que la emitió. Esta información se encuentra en los registros CVE, tanto en cve.org como en nvd.nist.gov. Una vez identificada, es importante localizar la información de contacto oficial de la CNA para solicitar actualizaciones o cambios.

La comunicación con la CNA debe incluir el ID del CVE, la información que se desea modificar, y evidencia que justifique esos cambios. Esto podría incluir desde informes de vulnerabilidades hasta registros de arreglos realizados en el software afectado.

En caso de que una CNA no responda o no esté de acuerdo con las modificaciones propuestas, existe un proceso de disputa formal que se puede seguir, el cual está detallado en las políticas y procedimientos del programa CVE.

Finalmente, es importante recordar que al gestionar cambios en un CVE, se contribuye no solo a la seguridad del software en cuestión, sino también al bienestar de toda la comunidad de desarrolladores y expertos en seguridad, quienes dependen de esta información para mitigar riesgos de manera efectiva.
vía: Github Open Source