java - 人们去哪里获取安全警报通知？

Question

在我的公司，我们正努力以更一致的方式及时了解安全警报和通知。我们的项目使用了大量 Java 库，如果这些库有安全更新，我们希望得到通知。我花了一些时间试图找到安全列表，但无济于事。这可能是因为我不知道正确的搜索词(可能)，或者因为我不知道去哪里查找(也可能)。也可能是因为它们不存在。

Libraries 的类型有 Jetty、Hibernate、一些 Apache 组等。有谁知道是否有集中收集这些警报的地方？是否有专门专注于发送在不同产品中注意到的安全警报的小组？我对寻找这些东西还很陌生，现在还不确定该去哪里。

Answer 1

大多数漏洞往往会在邮件列表中公布，例如 Bugtraq由 SecurityFocus 托管。您会找到一个单独的邮件列表 Open Source projects ，尽管这里没有讨论大多数漏洞，也没有大量披露。

您还会找到 MITRE-CVE和 OSVDB作为有用的资源。您所在国家/地区的 CERT 也是如此，尽管在大多数情况下您会发现 US-CERT 发出的警报足以跟随。