Các tệp OVAL bảo mật dường như cho kết quả dương tính giả

Chúng tôi cố gắng cắt bớt các gói nhị phân được liệt kê trong USN của chúng tôi thành các gói mà chúng tôi cho rằng có liên quan đến các bản sửa lỗi được đề cập, để tránh email trở thành danh sách dài vô lý gồm hàng chục hoặc hàng trăm gói. (Các gói -dev hoặc -doc hầu như không bao giờ thực sự bị ảnh hưởng bởi các vấn đề bảo mật.)

Chúng tôi đã chọn liệt kê tất cả các gói nhị phân được tạo từ một gói nguồn duy nhất như bị ảnh hưởng trong nguồn cấp dữ liệu OVAL của chúng tôi. Mặc dù điều này có thể gây hiểu lầm từ quan điểm của các gói nguồn cung cấp cả máy khách và máy chủ, nhưng đó là lựa chọn thận trọng và cũng phản ánh cách nâng cấp gói dự kiến ​​sẽ diễn ra.

(Trong trường hợp cụ thể của MySQL, đó cũng là một ý kiến ​​hay: Oracle không công bố nhiều thông tin về các vấn đề bảo mật của họ.Chúng ta không nên cố đoán xem gói nhị phân nào chứa các bản sửa lỗi CVE cụ thể nào từ Oracle. Tốt nhất là nâng cấp tất cả chúng khi chúng được phát hành thay vì cố gắng tìm hiểu các bản sửa lỗi cụ thể nào nằm trong gói cụ thể nào.)

Danh sách các gói USN được cắt bớt một chút để giữ cho chúng có thể đọc được. OVAL cố ý liệt kê mọi thứ. Cả hai cách tiếp cận đều có vấn đề, nhưng chúng tôi cho rằng OVAL sẽ sai ở khía cạnh an toàn và USN sẽ sai ở khía cạnh dễ đọc.

Cảm ơn