<div dir="ltr">Jerome,<div><br></div><div>Thanks a lot for sharing.</div><div>These tools are super helpful.</div><div><br></div><div>Su</div></div><div class="gmail_extra"><br><div class="gmail_quote">On Fri, Nov 13, 2015 at 9:59 AM, Jerome Athias <span dir="ltr">&lt;<a href="mailto:athiasjerome@gmail.com" target="_blank">athiasjerome@gmail.com</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">You could play with<br>
<a href="https://github.com/toolswatch/vFeed" rel="noreferrer" target="_blank">https://github.com/toolswatch/vFeed</a><br>
or<br>
<a href="https://github.com/athiasjerome/XORCISM" rel="noreferrer" target="_blank">https://github.com/athiasjerome/XORCISM</a><br>
<div class="HOEnZb"><div class="h5"><br>
2015-11-13 20:47 GMT+03:00 Shawn Wells &lt;<a href="mailto:shawn@redhat.com">shawn@redhat.com</a>&gt;:<br>
&gt;<br>
&gt;<br>
&gt; On 11/12/15 11:58 PM, Jerome Athias wrote:<br>
&gt;&gt;<br>
&gt;&gt; For &quot;master download&quot; of NVD:<br>
&gt;&gt;<br>
&gt;&gt; <a href="https://nvd.nist.gov/download.aspx" rel="noreferrer" target="_blank">https://nvd.nist.gov/download.aspx</a><br>
&gt;<br>
&gt;<br>
&gt; Nice - thanks!<br>
&gt;<br>
&gt; Looks like the CVE content is posted with mappings to vendor announcements<br>
&gt; (RHSA, Cisco SA). e.g.:<br>
&gt; <a href="http://pastebin.com/RkpdDFXb" rel="noreferrer" target="_blank">http://pastebin.com/RkpdDFXb</a><br>
&gt;<br>
&gt; I believe you&#39;ll need to ping vendors for associated OVAL content.<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt;&gt; 2015-11-13 1:15 GMT+03:00 Shawn Wells &lt;<a href="mailto:shawn@redhat.com">shawn@redhat.com</a>&gt;:<br>
&gt;&gt;&gt;<br>
&gt;&gt;&gt;<br>
&gt;&gt;&gt; On 11/10/15 3:04 PM, Su Zhang wrote:<br>
&gt;&gt;&gt;&gt;<br>
&gt;&gt;&gt;&gt; Thanks for your response.<br>
&gt;&gt;&gt;&gt; I looked into the doc and found the following description<br>
&gt;&gt;&gt;&gt;<br>
&gt;&gt;&gt;&gt; &quot;The oscap utility maps Red Hat Security Advisories to CVE identifiers<br>
&gt;&gt;&gt;&gt; that are linked to the National Vulnerability Database and reports which<br>
&gt;&gt;&gt;&gt; security advisories are not applied.&quot;<br>
&gt;&gt;&gt;&gt;<br>
&gt;&gt;&gt;&gt; However, does Red Hat security advisories capture all CVEs? Or it only<br>
&gt;&gt;&gt;&gt; capture its own product related CVEs? If it does not have a<br>
&gt;&gt;&gt;&gt; comprehensive<br>
&gt;&gt;&gt;&gt; CVEs, then do you know how to incorporate the entire NVD vulnerability<br>
&gt;&gt;&gt;&gt; data?<br>
&gt;&gt;&gt;<br>
&gt;&gt;&gt;<br>
&gt;&gt;&gt; Definitely a good question, and one we may not be documenting in the best<br>
&gt;&gt;&gt; way.<br>
&gt;&gt;&gt;<br>
&gt;&gt;&gt; The Red Hat CVE content reflects authoritative content for *Red Hat*<br>
&gt;&gt;&gt; technologies. For example, RHEL6 CVE data would include &quot;core RHEL,&quot; but<br>
&gt;&gt;&gt; also packages that we ship/support, such as our release of Apache<br>
&gt;&gt;&gt; included<br>
&gt;&gt;&gt; in Enterprise Linux.<br>
&gt;&gt;&gt;<br>
&gt;&gt;&gt; For third party vendors (e.g. MongoDB, Websphere) you&#39;d have to get<br>
&gt;&gt;&gt; CVE/OVAL<br>
&gt;&gt;&gt; data directly from them. I&#39;m not aware of a &quot;master download&quot; of NVD,<br>
&gt;&gt;&gt; however they do point you to various vendor content:<br>
&gt;&gt;&gt; <a href="https://oval.mitre.org/repository/about/other_repositories.html" rel="noreferrer" target="_blank">https://oval.mitre.org/repository/about/other_repositories.html</a><br>
&gt;&gt;&gt;<br>
&gt;&gt;&gt; CIS recently took over DHS&#39; OVAL repository from MITRE, and it contains<br>
&gt;&gt;&gt; many<br>
&gt;&gt;&gt; CVE definitions for Unix/Linux/Windows/VMWare:<br>
&gt;&gt;&gt; <a href="https://oval.cisecurity.org/repository/download" rel="noreferrer" target="_blank">https://oval.cisecurity.org/repository/download</a><br>
&gt;&gt;&gt;<br>
&gt;&gt;&gt; --<br>
&gt;&gt;&gt; Shawn Wells<br>
&gt;&gt;&gt; Office of the Chief Technologist<br>
&gt;&gt;&gt; U.S. Public Sector<br>
&gt;&gt;&gt; <a href="mailto:shawn@redhat.com">shawn@redhat.com</a> | <a href="tel:443.534.0130" value="+14435340130">443.534.0130</a><br>
&gt;&gt;&gt;<br>
&gt;&gt;&gt;<br>
&gt;&gt;&gt; --<br>
&gt;&gt;&gt; SCAP Security Guide mailing list<br>
&gt;&gt;&gt; <a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a><br>
&gt;&gt;&gt; <a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide" rel="noreferrer" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a><br>
&gt;&gt;&gt; <a href="https://github.com/OpenSCAP/scap-security-guide/" rel="noreferrer" target="_blank">https://github.com/OpenSCAP/scap-security-guide/</a><br>
&gt;<br>
&gt;<br>
&gt; --<br>
&gt; SCAP Security Guide mailing list<br>
&gt; <a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a><br>
&gt; <a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide" rel="noreferrer" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a><br>
&gt; <a href="https://github.com/OpenSCAP/scap-security-guide/" rel="noreferrer" target="_blank">https://github.com/OpenSCAP/scap-security-guide/</a><br>
--<br>
SCAP Security Guide mailing list<br>
<a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide" rel="noreferrer" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a><br>
<a href="https://github.com/OpenSCAP/scap-security-guide/" rel="noreferrer" target="_blank">https://github.com/OpenSCAP/scap-security-guide/</a></div></div></blockquote></div><br><br clear="all"><div><br></div>-- <br><div class="gmail_signature"><div dir="ltr"><div>Su Zhang<br><br></div></div></div>
</div>