Reports kommen mit einem Severity-Claim und einer Teil-Beschreibung. Die Industrie bewegt sich weg davon, CVSS-Scores als Entscheidungen zu behandeln, hin zu Exploitability-Evidenz, потому die Zahl allein beantwortet weder die Engineering-Frage (was fixen wir) noch die Kommunikationsfrage (was sagen wir Kunden).
Die technischen Fragen hinter jedem Report sind konkret: Reproduziert sich das Verhalten, und unter welchen Bedingungen: Labor-Konfiguration oder Produktions-Defaults? Was erreicht ein Angreifer tatsächlich, vollständige Remote Code Execution oder ein begrenzter Effekt in einem unwahrscheinlichen Zustand? Welche Produktversionen sind betroffen, nicht der ganze Katalog, sondern die konkrete Menge? Wo entsteht die Schwäche, und schließt der vorgeschlagene Fix den Angriffspfad oder nur die gemeldete Instanz?
Diese Fragen unter Zeitdruck zu beantworten ist der harte Teil. Ein Report, der am Freitag mit dem Wort „unauthentisiert“ ankommt, triggert Kommunikation vor Analyse. Die Kosten einer falschen Antwort laufen in beide Richtungen: Unterreagieren liefert ein ausnutzbares Produkt; Überreagieren verbrennt ein Emergency-Release für ein Non-Issue und erodiert die Glaubwürdigkeit des nächsten Advisories.
Die Produkt-Entscheidung hängt von mehreren technischen Antworten ab.
- Reproduktion Reproduziert sich das gemeldete Verhalten unter dokumentierten Bedingungen, und existieren diese Bedingungen in eingesetzten Produkten?
- Exploitability Was erreicht ein Angreifer tatsächlich, mit welchem Zugang und welcher Komplexität, jenseits des Severity-Labels?
- Betroffener Scope Welche Versionen, Varianten und Konfigurationen sind betroffen, per Evidenz, nicht per Release-Nähe?
- Root Cause Wo entsteht die Schwäche. Implementierung, Architektur oder Konfiguration, und was teilt dieselbe Ursache?
- Varianten-Reichweite Erzeugt dieselbe Ursache weitere ausnutzbare Pfade, die der Report nicht fand?
- Fix-Verifikation Schließt der vorgeschlagene Fix den ursprünglichen Angriffspfad, und die Varianten, getestet gegen die Reproduktion?
Der Freitag-Report war auf dem Papier kritisch, im Produkt begrenzt.
Der Report beschreibt eine unauthentisierte Command Injection. Severity kritisch, remote, ohne Bedingungen. Das Team bereitet über das Wochenende ein Emergency-Release und ein Kunden-Advisory vor.
Die Reproduktion zeigt: Das Verhalten erfordert einen Diagnose-Modus, der deaktiviert ausgeliefert wird, aktiviert nur auf interner Test-Firmware. Der betroffene Scope: null Produktionsversionen. Das Emergency-Release wird am Montag abgesagt. Der Varianten-Check findet eine verwandte Parser-Schwäche auf dem Produktions-Pfad, mittlere Severity, tatsächlich erreichbar, die der Original-Report komplett verpasst hat.
Severity durch Evidenz ersetzen, dann den Fix verifizieren.
Wir nehmen den Report und liefern die fehlenden Fakten: Reproduktion unter feld-repräsentativen Bedingungen, Exploitability jenseits des Labels, evidenz-basierten betroffenen Scope, Root Cause mit Varianten-Analyse, und Verifikation, dass der Fix den Pfad schließt: den ursprünglichen und die Varianten.
- Ein externer Researcher meldet eine Produkt-Vulnerability
- Ein Kunde meldet ein Security-Issue
- Ein internes Review findet verdächtiges Verhalten
- Exploitability eines gemeldeten Issues ist strittig
- Ein Fix braucht unabhängige Verifikation vor Release
- Ein Advisory braucht belastbare Daten zu betroffenen Versionen