[gentoo-commits] gentoo commit in xml/htdocs/security/it: vulnerability-policy.xml

[Davide Cendron (scen)]

scen        09/05/28 20:05:48

  Modified:             vulnerability-policy.xml
  Log:
  Version 1.2.7, revision 1.21 of EN CVS

Revision  Changes    Path
1.6                  xml/htdocs/security/it/vulnerability-policy.xml

file : http://sources.gentoo.org/viewcvs.py/gentoo/xml/htdocs/security/it/vulnerability-policy.xml?rev=1.6&view=markup
plain: http://sources.gentoo.org/viewcvs.py/gentoo/xml/htdocs/security/it/vulnerability-policy.xml?rev=1.6&content-type=text/plain
diff : http://sources.gentoo.org/viewcvs.py/gentoo/xml/htdocs/security/it/vulnerability-policy.xml?r1=1.5&r2=1.6

Index: vulnerability-policy.xml
===================================================================
RCS file: /var/cvsroot/gentoo/xml/htdocs/security/it/vulnerability-policy.xml,v
retrieving revision 1.5
retrieving revision 1.6
diff -u -r1.5 -r1.6
--- vulnerability-policy.xml	22 Feb 2008 21:44:31 -0000	1.5
+++ vulnerability-policy.xml	28 May 2009 20:05:48 -0000	1.6
@@ -1,6 +1,6 @@
 <?xml version='1.0' encoding="UTF-8"?>
 <!DOCTYPE guide SYSTEM "/dtd/guide.dtd">
-<!-- $Header: /var/cvsroot/gentoo/xml/htdocs/security/it/vulnerability-policy.xml,v 1.5 2008/02/22 21:44:31 scen Exp $ -->
+<!-- $Header: /var/cvsroot/gentoo/xml/htdocs/security/it/vulnerability-policy.xml,v 1.6 2009/05/28 20:05:48 scen Exp $ -->
 
 <guide link="/security/it/vulnerability-policy.xml" lang="it">
 <title>Politiche di gestione delle vulnerabilità in Gentoo Linux</title>
@@ -14,6 +14,9 @@
 <author title="Autore">
   <mail link="vorlon@g.o">Matthias Geerdsen</mail>
 </author>
+<author title="Autore">
+  <mail link="rbu@g.o">Robert Buchholz</mail>
+</author>
 <author title="Traduzione">
   <mail link="walpis@×××××.it">Walter Pisani</mail>
 </author>
@@ -30,8 +33,8 @@
 <!-- See http://creativecommons.org/licenses/by-sa/1.0 -->
 <license/>
 
-<version>1.2.6</version>
-<date>2008-02-13</date>
+<version>1.2.7</version>
+<date>2009-04-14</date>
 
 <chapter>
 <title>Scopo</title>
@@ -74,28 +77,28 @@
 
 <table>
 <tr>
-  <th>Architetture supportate</th>
+  <th>Architetture supportate (in ordine alfabetico)</th>
 </tr>
 <tr>
-  <ti>x86</ti>
+  <ti>alpha</ti>
 </tr>
 <tr>
-  <ti>ppc</ti>
+  <ti>amd64</ti>
 </tr>
 <tr>
-  <ti>sparc</ti>
+  <ti>hppa</ti>
 </tr>
 <tr>
-  <ti>amd64</ti>
+  <ti>ppc</ti>
 </tr>
 <tr>
-  <ti>alpha</ti>
+  <ti>ppc64</ti>
 </tr>
 <tr>
-  <ti>ppc64</ti>
+  <ti>sparc</ti>
 </tr>
 <tr>
-  <ti>hppa</ti>
+  <ti>x86</ti>
 </tr>
 </table>
 
@@ -108,9 +111,10 @@
 <ul>
   <li>
     Designare uno sviluppatore come punto principale di contatto per le
-    pubblicazioni sulla sicurezza relative alla sua architettura: questa persona
-    sarà vista come il responsabile che deve garantire che i bug di sicurezza
-    siano adeguatamente risolti sulla loro particolare architettura
+    pubblicazioni sulla sicurezza (Referente per la Sicurezza dell'Architettura)
+    relative alla sua architettura. Questa persona ha la responsabilità di
+    garantire che i bug di sicurezza siano adeguatamente risolti sulla loro
+    particolare architettura
   </li>
   <li>
     Aderire all'osservanza delle scadenze pubblicate per i test e la marcatura
@@ -191,7 +195,7 @@
 
 <p>
 Ogni vulnerabilità deve inizialmente essere inserita in <uri
-link="http://bugs.gentoo.org">Bugzilla</uri> con prodotto "Gentoo Security" e
+link="https://bugs.gentoo.org">Bugzilla</uri> con prodotto "Gentoo Security" e
 componente "Vulnerabilities" (assegnato a <mail
 link="security@g.o">security@g.o</mail>). Le maggiori liste di
 sicurezza devono avere delle persone che ufficialmente verificano che tutte le
@@ -331,14 +335,15 @@
 </tr>
 <tr>
   <ti>
-    Compromissione di servizi globali: blocco di servizi, completa perdita di
-    password o database...
+    Compromissione di servizi globali: blocco di servizi, completa sottrazione
+    di password, database, perdita di dati (attacchi tramite collegamenti
+    simbolici...)
   </ti>
   <ti>3</ti>
   <ti>normal (normale)</ti>
 </tr>
 <tr>
-  <ti>Altro: cross-site-scripting, perdita di informazioni...</ti>
+  <ti>Altro: Cross-Site Scripting, sottrazione di informazioni...</ti>
   <ti>4</ti>
   <ti>low (basso)</ti>
 </tr>
@@ -411,7 +416,7 @@
 "attaccabrighe", in questo caso è colui che deve gestire per primo i bug report
 non assegnati in modo specifico) dei bug di sicurezza ed eseguire i seguenti
 passi in caso di nuove vulnerabilità in <uri
-link="http://bugs.gentoo.org">Bugzilla</uri>:
+link="https://bugs.gentoo.org">Bugzilla</uri>:
 </p>
 
 <ul>
@@ -448,6 +453,18 @@
     severità
   </li>
   <li>
+    Inserire nel campo CC del bug i mantenitori del pacchetto in base alle
+    informazioni contenute nel file metadata del pacchetto stesso
+  </li>
+  <li>
+    impostare il campo URL con l'indirizzo del relativo bug upstream o a
+    qualcosa di simile
+  </li>
+  <li>
+    cercare identificatori CVE riservati o assegnati e aggiungerli al titolo del
+    bug, altrimenti richiedere un CVE
+  </li>
+  <li>
     opzionalmente assegnare un coordinatore GLSA al bug, e aggiungere il nome
     del coordinatore nel campo "Status Whiteboard"
   </li>
@@ -501,9 +518,8 @@
   </li>
   <li>
     se la correzione è disponibile, impegnare il  mantenitore del pacchetto a
-    produrre e scrivere un ebuild contenente la correzione (il
-    mantenitore/gruppo del pacchetto deve essere in cc sul bug) e aggiornare
-    il campo "Status Whiteboard" a <c>ebuild</c>
+    produrre e effettuare il commit di un'ebuild contenente la correzione
+    aggiornando il campo "Status Whiteboard" a <c>ebuild</c>
   </li>
   <li>
     una volta effettuato il commit dell'ebuild, valutare le keyword necessarie
@@ -622,12 +638,9 @@
 
 <p>
 Se una vulnerabilità <e>blocker</e> o <e>critical</e> o <e>major</e> non può
-essere totalmente corretta nel tempo indicato (per esempio: una vulnerabilità
-del kernel che deve essere corretta su tutti i sorgenti), un allarme immediato
-GLSA deve essere scritta con le informazioni su cosa fare. (per esempio:
-installare vanilla-sources, o c'è una patch del kernel da applicare ai propri
-sorgente). Questa GLSA sarà sostituita da una GLSA finale nel momento in cui la
-correzione definitiva sarà disponibile.
+essere totalmente corretta nel tempo indicato un allarme immediato GLSA deve
+essere scritta con le informazioni su cosa fare. Questa GLSA sarà sostituita da
+una GLSA finale nel momento in cui la correzione definitiva sarà disponibile.
 </p>
 
 <p>
@@ -684,7 +697,8 @@
 <tr>
   <ti>Gentoo Linux official announcement mailing-list</ti>
   <ti>
-    <mail link="gentoo-announce@g.o">gentoo-announce@g.o</mail>
+    <mail link="gentoo-announce@l.g.o">
+    gentoo-announce@l.g.o</mail>
   </ti>
 </tr>
 <tr>
@@ -703,7 +717,11 @@
 </tr>
 <tr>
   <ti>Linuxsecurity.com advisories service</ti>
-  <ti><mail link="alerts@×××××××××××××.com">alerts@×××××××××××××.com</mail></ti>
+  <ti>
+    <mail
+    link="security-alerts@×××××××××××××.com">security-alerts@×××××××××××××.com
+    </mail>
+  </ti>
 </tr>
 <tr>
   <ti>Gentoo Linux announcement forum</ti>