С учетом того, как много громких CVE было опубликовано в октябре, хотим подробнее прокомментировать наш подход про 1day-уязвимости в Охоте.

Для CVE в популярных библиотеках (NodeJS/PHP/Log4j/ImageMagick и т.д.) мы придерживаемся следующих правил:

0-31 дней с момента раскрытия в Интернете  — Яндекс не вознаграждает отчеты с ними. В этот период мы занимаемся самостоятельной раскаткой исправлений.

31-60 дней с момента раскрытия — лучше уточнить статус раскатки для конкретного сервиса.  Мы стремимся укладываться в 1 месяц, но в отдельных случаях период исправления может быть вынуждено увеличен.

90+ дней с момента раскрытия — можно отправлять отчеты.

Совет: если вы обнаружили в наших сервисах незапатченную CVE, которой больше 2-3 месяцев, то можете уточнить у нас через тг-бота, знает ли команда сервиса про это место. Стараемся отвечать честно

Политика уже на сайте