CVE-2006-20001 为什么命名为 2006

Question

就我的文化而言，我一直认为 CVE 是按照以下约定命名的：CVE-YEAROFPUBLICATION-ID+1，这意味着 2024 年的第一个 CVE 将被命名为 CVE-2024-0001，但对于这个特定的 CVE，它被命名为 2006发布时间：2023-01-17更新时间：2023-09-08。 它涉及 Apache HTTP Server 2.4.54 及更早版本（2.4.54 发布时间为 2022 年 7 月）

感谢我的文化 卢卡斯

我预计 CVE 会被命名为 CVE-2023-XXXXX

Answer 1

该漏洞最初在 2006 年的出版物“软件安全评估的艺术”中进行了描述，如Apache 的安全漏洞页面中所述；提到这一点的表格转载如下，并强调：

《软件安全评估的艺术》第一版中有描述	2006-10-31
已向安全团队报告	2022-08-10
更新2.4.55发布	2023-01-17
影响	<=2.4.54

这将正确遵守 CVE 既定的命名流程（重点也是我的）：

CVE ID 具有以下格式：

CVE prefix + Year + Arbitrary Digits

“年份”部分是保留 CVE ID 的年份或 漏洞被公开的年份。 不使用年份部分 指示漏洞何时被发现。