Recientemente, ha cobrado importancia en la comunidad de desarrolladores la mejora de la información relacionada con los identificadores de vulnerabilidades comunes (CVE), una herramienta esencial en el rastreo de fallos de seguridad en el software. La capacidad de crear avisos de seguridad para alertar sobre estas vulnerabilidades depende de la comunicación con la Autoridad de Numeración CVE (CNA) correspondiente, que emitió la identificación del fallo.
GitHub ha dado un paso adelante en este proceso, mostrando su disposición para ayudar en casos donde la CVE haya sido emitida por ellos mismos. Con una red de más de 400 CNAs, GitHub promueve un enfoque claro para contactar a la autoridad pertinente. Para esto, es esencial que los desarrolladores comiencen por localizar la CNA responsable, lo que puede hacerse fácilmente a través del registro disponible en el sitio web de CVE.
Una vez identificada la CNA, los desarrolladores deben buscar los datos de contacto en el sitio web de los socios de CVE, lo cual incluye el uso de una barra de búsqueda para encontrar el nombre de la CNA apropiada. Dado que algunas organizaciones cuentan con múltiples CNAs, es crucial asegurar que el contacto sea correcto.
El canal principal para comunicarse con la CNA generalmente es el correo electrónico, aunque en casos como el de la Corporación MITRE, se prefiere el uso de un formulario web para tratar solicitudes sobre la creación o modificación de los CVEs. En cualquier caso, al comunicarse es vital proporcionar detalles claros y específicos. Esto incluye el ID del CVE, cualquier información nueva que se desee agregar, eliminar o modificar, así como razones claras respaldadas por evidencia, tales como reportes de vulnerabilidad o notas de parches.
Si la comunicación inicial no resulta exitosa o no se llega a un acuerdo sobre el contenido del registro CVE, los desarrolladores pueden recurrir a un procedimiento formal de disputa. La guía para este proceso está descrita en la política y procedimiento del programa CVE.
La precisión y actualización de los registros CVE es vital para los desarrolladores y la comunidad de seguridad en general. No solo permite identificar y abordar vulnerabilidades de manera oportuna, sino que también facilita la mitigación de riesgos en el amplio y complejo ámbito del software. La cooperación en el refuerzo de estos registros es, por tanto, un componente crucial para asegurar la seguridad de las aplicaciones que se utilizan globalmente.
