脆弱性情報に誤記があるとき問い合わせると修正してもらえる - hogashi.*

目次 目次 実際の例 NVD CVE 番外編: Security NEXT むすび こんにちは、 id:hogashi です。 はてなエンジニア Advent Calendar 2022 - Hatena Developer Blog の 30日目の記事です。昨日は id:stefafafan さんの はてなのエンジニアとして日々意識しながらやっていることを紹介します - stefafafan の fa は3つです でした。年の瀬MAXですね。 僕は業務でセキュリティ会というものに参加していて、毎週の定例で脆弱性情報を眺めています。脆弱性情報、特に CVE Record などにはなんとなく正確さを期待しますが、人間が運用している以上ミスはあるもので、たまに typo など誤記があることもあります。 そういうものに気づいたときには、修正してもらえるよう問い合わせてみたりしています。よく見ると

[Gim]

ぶっちゃけ、脆弱性情報なんて誤記だらけだけどね。また知りたいのは影響なんだけど、1例として権限昇格って脆弱性で、iloなのか、ホストOSなのか、ゲストOSなのかで実務上の深刻度は違うから、権限昇格だけ書かれても

[defiant]

この記事をおすすめしました

[operator]

海外ITメーカーのオンラインマニュアルとかも誤記とか実際のソフトウェア挙動と合ってない部分がたくさんあって、問い合わせの結果、修正してもらったことが100回くらいある。。。

[yujiorama]

深刻度がcriticalでもそんなことあるんだ

[stefafafan]

良い話

[miki_bene]

同じ会に出ていて「修正の問い合わせしてみました」とサラっと言っている姿をみてめちゃくちゃ感心しています

[onk]

尊い