Ein externer Sicherheitsforscher hat in einem Produkt eines Unternehmens eine nicht veröffentlichte Schwachstelle gefunden. Welches Vorgehen entspricht am besten der koordinierten Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure)?

Antwort: C. Die Schwachstelle dem Hersteller (oder einer koordinierenden Stelle) vertraulich melden, die Frist für die Vorbereitung der Korrektur abstimmen und die Informationen zusammen mit der Veröffentlichung der Korrektur bekannt geben

Werden Details vor Erscheinen einer Korrektur veröffentlicht, können Angreifer die Schwachstelle zuerst ausnutzen, und die Nutzer sind der Gefahr ohne Schutzmöglichkeit ausgesetzt. Bei der koordinierten Offenlegung meldet der Finder die Schwachstelle vertraulich an den Hersteller, beide stimmen die Frist ab, bis der Hersteller eine Korrektur bereitstellt, und die Informationen werden zusammen mit der Korrektur veröffentlicht (oft mit einer festen Frist von etwa 90 Tagen). In Japan gibt es dafür das von IPA und JPCERT/CC koordinierte Programm „Information Security Early Warning Partnership“; die koordinierten Schwachstelleninformationen werden in JVN veröffentlicht. Auch Bug-Bounty-Programme, bei denen Unternehmen Meldenden eine Prämie zahlen, fördern die koordinierte Offenlegung, indem sie Meldewege und Regeln im Voraus bekannt machen.