Linux核心專案成為CVE編號機構後續未修補的漏洞將不再事先分配CVE
CVE 是公共漏洞和揭露的縮寫,也被稱為通用漏洞揭露,該漏洞資料庫由美國非營利組織MITRE 營運維護。從事安全方面的網友應該知道發現漏洞後申請CVE 編號並不是一件很難的事情,但這也導致部分開源機構的不滿,例如Linux Kernel 專案。

日前Linux Kernel 宣布已成為Linux 中發現的漏洞的CVE 編號機構(CNA),後續至少關於內核方面的漏洞,將由Linux Kernel 專案自行分配,不再由MITRE 分配CVE 編號。
為什麼會引起不滿呢?Linux Kernel 專案組認為整個系統(指的是漏洞揭露系統) 很多方面都被破壞了,由於Linux 核心金額處在系統的底層,幾乎任何錯誤都可能被利用拿來危害核心的安全,但當錯誤被修復時,利用的可能性通常並不明顯。
過去CVE 分配團隊過於謹慎,將CVE 編號分配黑他們發現或收到的任何錯誤修復,這也是為什麼Linux Kernel 團隊發布了看似大量的CVE 相關的東西。
接下來Linux Kernel 未修復的安全性問題不會事先指派CVE 編號,只有在漏洞被修復後才會指派CVE 編號,這樣可以透過正確的方式來追蹤原始修復的git commit ID。
另外任何非穩定版、非LTS 版這類正式版本的Linux Kernel 發現的任何漏洞,都不會再指派CVE 編號,因為這類版本本身就不是正式支援的。
最後Linux Kernel 核心團隊也感覺cve.org 小組和董事會,因為核心團隊申請成為CNA 的流程非常順利並獲得了他們的幫助,讓核心團隊成為CNA 變成現實。