CISA drängt Anbieter zu einer disziplinierteren koordinierten Offenlegung von Schwachstellen

CISA und verbündete Behörden veröffentlichten neue Leitlinien zur koordinierten Offenlegung von Schwachstellen, um Anbietern zu helfen, Meldungen konsistenter zu bearbeiten. Die Leitlinien kamen kurz nachdem CISA selbst Mühe hatte, einen ernstzunehmenden Bericht zu erhalten, was offenbar den Schwerpunkt auf bessere Aufnahme- und Reaktionsprozesse beeinflusst hat. Ziel ist es sicherzustellen, dass Forscher Schwachstellen ohne Verwirrung, Sackgassen oder unklare Zuständigkeiten melden können. Das ist wichtig, weil der Umgang mit Schwachstellen heute nicht mehr nur darin besteht, einen einzelnen Fehler zu patchen; es geht um Triage, Kommunikation und darum, erreichbar zu sein, wenn eine kritische Schwachstelle entdeckt wird. Mit der steigenden Zahl von Entdeckungen durch Forscher und KI-Tools wird eine disziplinierte Offenlegung durch Anbieter zu einer echten Sicherheitskontrolle. Bessere CVD-Programme sollten die Frustration der Forscher verringern und die Zeit bis zur Behebung für Kunden verkürzen.

Quellen

• CISA zieht ihre eigenen hart erarbeiteten Lehren in Leitlinien zur koordinierten Offenlegung von Schwachstellen ein — Help Net Security
• Die US-amerikanische CISA fügt iCagenda- und Balbooa-Forms-Schwachstellen ihrem Katalog bekannter ausgenutzter Schwachstellen hinzu — Security Affairs
• Die US-amerikanische CISA fügt KNX Association KNX Protocol Connection Authorization Option 1 und Oracle-Schwachstellen ihrem Katalog bekannter ausgenutzter Schwachstellen hinzu — Security Affairs