Vulnerability Reporting and Vulnerability Disclosure

Vulnerability Reporting ปกติจะได้รับ vulnerability report จากคนที่หาช่องโหว่เจอ หรือทาง vendor ออกประกาศมา (ไม่ว่าจะก่อนหรือหลังมี patch) พอดีไปเจอบทความของ Codelivly ที่อธิบายว่า vulnerability report ที่ดีควรมีข้อมูลอะไรบ้าง เพื่อให้ฝั่ง dev หรือ defender สามารถเอาไปใช้ประโยชน์ต่อได้ ซึ่งสามารถสรุปประเด็นหลักๆ ได้ดังนี้ 1. ระบุรายละเอียดช่องโหว่ให้ชัดเจนว่าเป็นประเภทไหน โจมตียากง่ายยังไง เป็น default config หรือต้องไปเปิด service อะไรไว้ด้วยถึงโดนโจมตีได้ 2. ระบุเวอร์ชันของ software หรือระบบที่ได้รับผลกระทบ พร้อมวิธีในการตรวจสอบ (ฝั่งคนที่เจอช่องโหว่อาจจะมีข้อมูลในส่วนนี้ไม่ครบ แต่ฝั่ง vendor ควรระบุมาให้ชัด เพราะหลายที่ชอบเขียนมาแบบกว้างๆ ให้ไปเดากันเอง) 3. Patch แก้อะไรส่วนไหน ติดตั้งเสร็จแล้วอาจส่งผลกระทบต่อการใช้งานอะไรหรือเปล่า ถ้ายัง patch ไม่ได้สามารถ mitigate ยังไงได้บ้าง 4. ถ้าหากโดนโจมตีสำเร็จไปแล้วจะมี…