veselcraft

Очень многие спрашивают что такое CVE и почему такие посты поднимают такую большую бучу: CVE - Common Vulnerabilities and Exposures (Общие Уязвимости и Воздействия) Зачастую это работает вот так: - кто-то нашёл брешь в софтине и решил уведомить компанию или разработчиков - он создаёт CVE под кредом секретности и публикует общую информацию и как оно обходится с этого момента у конторы два пути: - первый: контора берёт во внимание и оценивает его воздействие, затем закрывает брешь и говорит нашедшему что починили; с этого момента CVE становится публичным и если у конторы есть bug bounty выдаёт деньги за наход (у гугла за такие находы например в среднем даётся $6006.13) - второй: контора может игнорировать всё это и закрыть глаза на уязвимость, после 90 дней CVE публикуется автоматически и по факту выставляет контору дураками То что у бреши есть CVE не всегда значит что ей можно вынести половину системы, для этого есть CVSS, чем он больше, тем страшнее брешь Аналогично в обратную сторону: если у бреши нет CVE это не означает что её нет вообще, или то что её не используют в данный момент хакеры или другие люди