Preguntas frecuentes sobre la asignación de CVE
Secur0 es CNA bajo el Root de INCIBE, así que podemos emitir CVEs sobre reportes de nuestros programas. Aquí están las dudas que más nos llegan.
¿Cómo pido un CVE?
No lo pides tú. Te enviamos un formulario para que completes algunos datos. El equipo de triaje puede enviarlo en cuanto valida el fallo, pero lo habitual es que salga cuando la empresa marca el reporte como corregido. El motivo es práctico: no publicamos sin una corrección a la que apuntar, así que enviarlo antes obliga a parar el proceso dos veces, una esperando tus datos y otra esperando el arreglo. Si no lo has recibido y crees que tu reporte debería llevarlo, pregúntanos en el propio reporte o abre un ticket.
¿Puedo pedirlo yo por mi cuenta a otro sitio?
Si el fallo lo has reportado por un programa nuestro, lo tramitamos nosotros. Pedirlo además a otro CNA acaba en dos identificadores para el mismo fallo, y entonces hay que retirar uno. Si ya lo has pedido por otra vía, dínoslo y lo tenemos en cuenta.
¿Cuánto tarda en publicarse?
Depende del mantenedor. Algunos nos dan permiso para publicar según van saliendo, y entonces suele ser cuestión de un mes. Otros prefieren revisar el CVE antes, o publicarlo junto con su propio ciclo de versiones, y ahí puede ser más o menos según cuándo saquen release. Nuestra mediana desde que existe corrección hasta que el registro está publicado ronda los 33 días, que está bastante por debajo de lo habitual en el programa CVE.
Me habéis dado un ID reservado, ¿ya está publicado?
Todavía no. Reservar y publicar son dos estados distintos: un ID reservado es un número que apartamos para tu fallo, de modo que esté listo cuando salga el registro. Que exista no quiere decir que ya esté publicado, ni que puedas divulgarlo aún. Te avisamos cuando puedas.
La empresa no ha marcado el fallo como corregido, ¿qué hago?
Lo más probable es que todavía no te haya llegado el formulario, y eso es normal. El equipo de triaje puede enviarlo en cuanto valida el fallo, pero normalmente espera a que la empresa lo marque como corregido, porque la publicación necesita una corrección a la que apuntar y de ese modo el proceso solo se detiene una vez.
Si la empresa lleva tiempo callada, dínoslo y le insistimos. No podemos garantizar sus plazos, eso no depende de nosotros, pero sí moverlo y contarte en qué punto está.
Mi reporte se cerró como duplicado y aun así me dijisteis que podía llevar CVE
Puede pasar. En casos concretos, por ejemplo cuando un reporte demuestra un impacto mayor sobre un fallo ya conocido, el equipo de triaje puede decidir que figures como co-descubridor en un CVE junto a otra persona. Esa valoración la hace únicamente el equipo de triaje, caso por caso.
¿Todos los programas dan CVE?
No. Emitimos sobre software versionado y bajo control de quien lo ejecuta, normalmente open source, porque un CVE describe algo que alguien puede tener instalado y puede actualizar. Cuando no hay una versión que el usuario pueda instalar ni actualizar, no hay registro que emitir. Los programas aptos van etiquetados.
Que un programa no sea apto no dice nada de tu reporte. Es por cómo es el sistema, no por lo que encontraste.
¿Qué me van a pedir en el formulario?
El identificador del reporte, cómo quieres que aparezcan tus créditos, las versiones afectadas, la versión en la que se introdujo el código vulnerable y el enlace al parche o a la nota del fabricante. Los tres últimos, en la medida en que puedas. Si no los tienes, el proceso se alarga bastante, porque los tenemos que averiguar nosotros.
¿Meto el PoC en el formulario?
No. Ese formulario no es un canal cifrado. Nada de código de explotación, PoC ni pasos detallados: eso se queda en el reporte de la plataforma, que referenciamos por su ID.
La criticidad del CVE no coincide con la que me aceptasteis en el reporte
Pasa, y no es que hayamos cambiado de opinión. En fase CVE tenemos mejor evidencia que cuando se valoró el reporte, normalmente el propio parche, que en open source suele enseñar cuál era el camino realmente alcanzable. La puntuación del CVE se decide con esa evidencia y prevalece. Te la explicamos métrica a métrica.
Si crees que el criterio de puntuación en sí está mal, eso se discute en nuestra guía pública de criticidad, no dentro del reporte.
¿Quién sale en los créditos?
Quien descubre el fallo. Si reportas en equipo, el crédito es del equipo. Dinos en el formulario exactamente cómo quieres que aparezca tu nombre.
Si más adelante quieres cambiar cómo se te nombra, por el motivo que sea, escríbenos por ticket de Discord y lo hacemos. Preferimos acertar a la primera, pero cambiarlo no es un problema, y también podemos actualizar cómo apareces en nuestros advisories detallados cuando los haya.
¿Cuándo puedo divulgar?
Cuando te autoricemos expresamente. Ni la acreditación de la plataforma ni un ID reservado ni la publicación del parche por parte del mantenedor son autorización.
Al pedir la autorización puedes proponer una fecha, entre 90 y 180 días desde la solicitud. Esa fecha es vinculante cuando la aprueba el equipo de triaje o la empresa responsable de la corrección. Basta con una de las dos.
Llevo semanas sin noticias, ¿a quién pregunto?
A nosotros, en el reporte si la conversación sigue abierta, o por ticket si ya se cerró. Puedes preguntar por el estado de tu reporte siempre que quieras y no penaliza nada. Te pedimos solo que sea con una frecuencia razonable, porque somos un equipo pequeño.
¿Y si la empresa no corrige nunca?
Entonces no hay CVE, porque no hay corrección que referenciar. Escríbenos igualmente: hay casos en los que el fallo está corregido en el repositorio aunque la empresa no lo haya marcado en la plataforma, y eso sí nos sirve.