Divulgação responsável de vulnerabilidades: como funciona?
Como organizar contexto, evidências e comunicação antes de tornar pública uma pesquisa de segurança.
O registro começa com contexto
Uma pesquisa útil identifica o comportamento observado e as condições necessárias para reproduzi-lo. Versão, configuração e permissões influenciam o resultado e devem acompanhar as evidências.
A descrição precisa separar uma hipótese de um comportamento confirmado. Essa distinção reduz ambiguidades na conversa com quem mantém o sistema afetado.
Comunique antes de ampliar a exposição
A divulgação responsável busca coordenar a comunicação com o responsável pelo produto ou ambiente. Compartilhar detalhes suficientes para a análise não exige publicar informações sensíveis ou dados obtidos durante a investigação.
O canal, o escopo e as condições da comunicação variam conforme a política do responsável. A pesquisa deve respeitar os limites autorizados.
Um identificador não substitui a análise
O CVE permite referenciar um registro público de vulnerabilidade. Para compreender o problema, consulte a descrição e as referências disponíveis no registro, considerando a versão e o contexto afetados.
Informações ainda não públicas não devem ser presumidas a partir do identificador. A ficha pode ser atualizada, e o estado atual deve ser conferido na fonte oficial.
Publique o que ajuda a corrigir
Uma análise técnica pode reunir contexto, impacto e orientação de correção quando essas informações estiverem liberadas. O objetivo é permitir que responsáveis identifiquem sua exposição e tomem decisões.
O nível de detalhe precisa considerar o processo de comunicação e os cuidados com dados de terceiros. Na página de pesquisa da Rifti, os identificadores levam diretamente aos registros públicos.