#curl

2 материала

15. Первый CVE-спор curl: проект отказался присваивать CVE уязвимости с ведущей точкой в хосте

curl, будучи CNA, впервые столкнулся с эскалацией в MITRE: репортер настаивает на CVE для бага с hostname вида .example.com. Команда curl считает проблему чисто теоретической — требуется локальный доступ, /etc/hosts и wildcard-сертификат. В проекте напоминают о «цене CVE» для экосистемы из 30 миллиардов инсталляций.

daniel.haxx.se · #security #curl #cve #security

10. curl уходит в летний режим: отчёты о уязвимостях не принимают до августа

Даниэль Стенберг объявил для curl «summer of bliss»: с 1 июля по 3 августа новые vulnerability reports не принимаются, если у вас нет платного контракта на поддержку. Причина простая и без PR-риторики — четыре месяца жёсткой нагрузки, и команде нужен перерыв, хотя поток проблем, судя по тексту, никуда не делся.

lwn.net · #security #curl #policy #process #security #vulnerability-disclosure