🔒Открыть пост
и посмотреть медиа
и посмотреть медиа
Дэниел Стенберг снова спорит с чужим CVE
Автор curl опубликовал разбор очередного CVE, с которым он не согласен. Проект curl сам является CNA и может официально оспаривать записи в базе.
Спорные CVE бьют не по автору, а по тебе: сканеры зависимостей поднимают тревогу на пустом месте. Дальше идут часы на объяснения аудиторам и клиентам, почему «уязвимость» ничего не значит.
Полезно помнить, что CVE — заявка, а не приговор, и статус dispute реален. Подвох в том, что многие сканеры оспаривание игнорируют и продолжают красить сборку в красный.
🔗 Подробнее
@nuancesprog #Security