Un advisory è una scheda pubblicata al termine di un processo di divulgazione coordinata. Descrive una vulnerabilità, il contesto in cui è stata verificata e le informazioni disponibili per ridurre il rischio. Non è un avviso in tempo reale sui casi ancora sotto embargo.
Perché l'archivio contiene solo disclosure concluse
Durante la finestra CVD, anche informazioni apparentemente generali possono aiutare a circoscrivere il prodotto o il componente interessato. Per questo l'Osservatorio non pubblica nomi, categorie, punteggi, stati o conteggi relativi alle segnalazioni in corso.
La scheda diventa pubblica soltanto alla conclusione della finestra applicabile, dopo una revisione delle informazioni divulgabili.
Identificativo, prodotto e versioni
L'identificativo permette di citare in modo univoco la ricerca. Prodotto, produttore e versioni interessate definiscono invece il perimetro della verifica: non implicano automaticamente che ogni installazione esistente sia vulnerabile nello stesso modo.
Quando la versione non può essere determinata con certezza, la scheda deve dichiararlo invece di estendere la conclusione oltre le evidenze disponibili.
Classe, CWE e CVE
La classe descrive il tipo di debolezza osservata. Il codice CWE collega il problema a una tassonomia internazionale; non identifica una vulnerabilità specifica. Un eventuale codice CVE, invece, è un identificativo assegnato a una particolare vulnerabilità resa pubblica.
Questi campi aiutano a confrontare problemi tecnicamente simili, ma non sostituiscono la descrizione del contesto.
Il punteggio CVSS
Il CVSS esprime la severità tecnica su una scala da 0 a 10. Il vettore che accompagna il punteggio rende visibili le assunzioni usate nel calcolo: accesso locale o remoto, privilegi richiesti, interazione dell'utente e impatto su riservatezza, integrità e disponibilità.
Un punteggio elevato non misura da solo la probabilità che il problema venga sfruttato, la diffusione del prodotto o la qualità complessiva del software.
Fatti, valutazioni e riscontri
Una scheda utile distingue tre piani:
- Fatti verificabili, come date, hash, versioni, disponibilità di una patch e riferimenti pubblici.
- Valutazioni del ricercatore, come classe, impatto e severità.
- Riscontri ricevuti, attribuiti chiaramente al vendor o agli altri soggetti coinvolti.
Una dichiarazione del produttore non viene presentata come verifica del ricercatore; allo stesso modo, una valutazione tecnica non viene descritta come accertamento definitivo.
Timeline e correzione
La timeline ricostruisce gli eventi rilevanti: segnalazione, riscontri ricevuti, disponibilità di una correzione e pubblicazione. Serve a comprendere il processo, non a costruire una classifica tra produttori.
Se una patch è disponibile, l'advisory dovrebbe indicare come individuarla e, quando possibile, se la correzione è stata verificata. Se non esiste ancora una mitigazione pubblica, questa circostanza deve essere riportata senza trasformarla in un giudizio sulle intenzioni del vendor.
Cosa non troverai
L'archivio non pubblica credenziali o chiavi effettive, exploit pronti all'uso, indirizzi di sistemi raggiungibili, dati sanitari reali o istruzioni che rendano immediato compromettere un'installazione.
L'obiettivo è rendere la ricerca utile a chi deve correggere e difendere, senza trasformare la disclosure in uno strumento operativo per l'attacco.
Per conoscere tempi, eccezioni e criteri editoriali puoi consultare la metodologia CVD.