Aviso público y solicitud de CVE

Los identificadores CVE los asignan las CNA, organizaciones autorizadas por el programa CVE para numerar dentro de un alcance: su propio producto, un sector o un proyecto. Si el fabricante no es CNA, el identificador se pide a una CNA cuyo alcance cubra el producto y, si no hay ninguna, a la CNA de último recurso. El registro tiene un contenido mínimo: al menos un producto afectado con su proveedor y sus versiones o fechas, el tipo de debilidad (se recomienda la clasificación CWE), una descripción en prosa, que va al menos en inglés, y al menos una referencia pública con información del fallo.

Esa referencia es lo que ordena el calendario: el registro CVE no puede ser la primera publicación de una vulnerabilidad, así que el aviso del fabricante sale antes o a la vez. Y la descripción del registro no reconoce a personas: el crédito va en su campo propio o en el aviso.

Las reglas del programa piden un identificador por cada vulnerabilidad que se corrige de forma independiente. Si dos síntomas se cierran con el mismo cambio en el mismo código, son una sola vulnerabilidad y llevan un solo identificador, aunque se manifiesten por dos rutas. Y cuando hay dudas, uno. Abre el laboratorio y lee guia-del-registro.txt y borradores-registro.txt.

El formato del registro tiene etiquetas que cambian cómo se lee. Una marca los fallos de productos que solo existen como servicio alojado: el cliente no tiene nada que actualizar porque el arreglo lo aplica el proveedor en su servidor. No se usa si el fallo afecta también a algo que el cliente instala. La etiqueta importa porque quien gestiona vulnerabilidades en su inventario sabrá de un vistazo si tiene trabajo pendiente o no.

El reconocimiento es parte del trato: quien reporta decide si aparece, con qué nombre y dónde. Un nombre legal que la empresa conoce por el pago de una recompensa es un dato personal y no se publica sin permiso, aunque parezca un detalle. Lee credito.txt y compáralo con el crédito que pone el borrador del aviso en el segundo fallo.

Un aviso público lo leen los clientes, y su primera pregunta es «¿tengo que hacer algo?». Para el fallo del servidor, nada; para el del programa instalado, actualizar a una versión concreta. Un aviso tampoco es un manual: explica qué estaba mal, a quién afectaba, desde cuándo está corregido y qué hacer, sin la receta para repetirlo. Relee el borrador con las notas de versión del conector al lado.