Door Anoniem: Waarom zou een bedrijf alle vulnerabilities moeten melden als CVE? Responsible diclosure is als iemand een vulnerability vindt, hij/zij deze informatie niet onmiddellijk openbaar maakt, maar eerst met het bedrijf in kwesite deelt om hen tijd te geven om een oplossing te bedenken. https://veiliginternetten.nl/themes/situatie/wat-een-responsible-disclosure/ Er worden veel vulnerabilities in stilte verholpen, hoor. Ook tijdens de maandelijkse MS patches. Helaas wel inderdaad. Het is ook een doorn in het oog van de gemiddelde onderzoeker dat dit gebeurd. Je complete controle kan zijn gebaseerd op het doorzoeken van changelogs op CVE-nummers als je risico's wilt inschatten in je patch-procedure, dus niet melden kan uiteindelijk zorgen dat je klanten de patch niet installeren (want onbelangrijk om op laatste feature release te werken als er geen security issues zijn, terwijl elke update wel risico's in continuiteit meebrengt) en zo kun je dus kwetsbaar worden. Tip: wordt er in software iets ...