CNA y fuentes del fabricante

Un CNA (CVE Numbering Authority) es una organización autorizada por el programa CVE para asignar identificadores y publicar sus registros dentro de un alcance acordado. Hay CNA de fabricantes, que cubren sus propios productos, y CNA de otros tipos, como coordinadores que atienden a muchos proveedores. Además del CNA, un registro puede recibir datos de otros publicadores autorizados, los ADP, que añaden información sin ser quienes asignaron el número.

Que un registro lo escriba el fabricante o un tercero cambia cuánto sabe de las versiones, los parches y las condiciones del producto.

En el laboratorio la columna tipo_de_cna te da una pista: Fabricante o Coordinador. Dos de los tres registros los asignó el fabricante del producto. Uno lo asignó un coordinador que recibió el reporte de un investigador, y su registro se publicó antes de que el fabricante tuviera su propio aviso.

El aviso del fabricante es su documento sobre el problema: qué versiones lo tienen, cuál lo corrige y qué mitigación ofrece mientras tanto. Para remediar, es la fuente que mira el equipo que parchea, porque habla de los instaladores y de las versiones que realmente existen. Compara siempre lo que dice con lo que dice el registro CVE.

Lee el aviso del CVE asignado por el coordinador.

Cuando coordinador y fabricante publican en días distintos, hay una ventana en la que el registro CVE existe pero el aviso aún no. Durante esos días el registro puede decir «todas las versiones» por falta de información, y es el aviso posterior el que lo precisa. Medir esa ventana en días naturales te ayuda a explicar por qué dos documentos del mismo CVE no coincidían la semana pasada.

El registro del coordinador dice que están afectadas todas las versiones. El aviso del fabricante dice que una versión concreta lo corrige. El equipo de TI pregunta si hay que reemplazar el producto o basta con actualizar a esa versión.