С учетом того, как много громких CVE было опубликовано в октябре, хотим подробнее проко...
С учетом того, как много громких CVE было опубликовано в октябре, хотим подробнее прокомментировать наш подход про 1day-уязвимости в Охоте. Для CVE в популярных библиотеках (NodeJS/PHP/Log4j/ImageMagick и т.д.) мы придерживаемся следующих правил: 0-31 дней с момента раскрытия в Интернете — Яндекс не вознаграждает отчеты с ними. В этот период мы занимаемся самостоятельной раскаткой исправлений. 31-60 дней с момента раскрытия — лучше уточнить статус раскатки для конкретного сервиса. Мы стремимся укладываться в 1 месяц, но в отдельных случаях период исправления может быть вынуждено увеличен. 90+ дней с момента раскрытия — можно отправлять отчеты. Совет: если вы обнаружили в наших сервисах незапатченную CVE, которой больше 2-3 месяцев, то можете уточнить у нас через тг-бота, знает ли команда сервиса про это место. Стараемся отвечать честно Политика уже на сайте