产品安全实践
了解有关我们产品软件安全实践的更多信息
McAfee 主要致力于确保客户的计算机、网络、设备和数据安全。 我们承诺在发生问题时快速解决问题，并通过安全公告和知识库文章提供建议。 有关详细信息，请联系 PSIRT 团队。要了解如何向 McAfee 报告安全问题或漏洞，请查看以下“报告安全漏洞”选项卡中的操作说明。
2018 年 5 月 21 日：Spectre NG
Intel 在 2018 年 5 月 21 日公开了一组影响 McAfee 设备产品的 2 个新边信道漏洞，称为 Spectre NG。
- CVE-2018-3639 – Speculative Store Bypass (SSB)，也称为变体 4
- CVE-2018-3640 – Rogue System Register Read (RSRE)，也称为变体 3a
知识库文章：
- KB90619 – McAfee 对 Spectre-NG 报告的回应
查看所有横幅存档
| 安全公告 |
|---|
| 安全公告 – 个人用户 | ||
|---|---|---|
| TS102888 | McAfee Total Protection 16.0.R18 更新修复了权限/信任利用漏洞，该漏洞允许本地用户绕过产品自我保护，篡改策略和产品文件，并在未经许可的情况下通过专门编制的恶意软件来卸载 McAfee 软件 | 2019 年 1 月 28 日 |
| TS102887 | McAfee Total Protection Windows 更新修复了 DLL 搜索顺序劫持漏洞，该漏洞允许本地用户从被攻陷的文件夹执行任意代码 | 2019 年 1 月 22 日 |
| TS102872 | True Key（Windows 版）应用程序更新修复了弱目录权限漏洞 (CVE-2018-6755)、身份验证滥用漏洞 (CVE-2018-6756) 和权限升级漏洞 (CVE-2018-6757) | 2018 年 12 月 6 日 |
| TS102785 | Security Innovation 应用程序更新修复了由未安装补丁的 Dropbox SDK 版本所引发的潜在远程利用漏洞 (CVE-2014-8889) | 2018 年 10 月 29 日 |
| TS102830 | McAfee Mobile Security 4.x 在 Android 上的锁屏功能存在的限制 | 2018 年 10 月 8 日 |
| TS102829 | McAfee Mobile Security 锁屏功能无法隐藏 Android 通知区域 | 2018 年 10 月 8 日 |
| TS102817 | 对于在分屏模式下在后台打开的已锁定应用程序，McAfee Mobile Security 无法显示 PIN 屏幕 | 2018 年 10 月 8 日 |
| TS102846 | True Key（Windows 版）应用程序存在 DLL 端加载漏洞 (CVE-2018-6700) | 2018 年 9 月 10 日 |
| TS102825 | True Key（Android 版）更新修复了潜在的地址栏欺骗漏洞 (CVE-2018-6682) |
2018 年 8 月 8 日 |
| TS102801 | True Key 更新修复了一个 DLL 端加载漏洞 (CVE-2018-6661) | 2018 年 3 月 30 日 |
| TS102769 | 2018 年 1 月 Microsoft 安全更新（Meltdown 和 Spectre）和 McAfee 个人用户产品（CVE-2017-5715、CVE-2017-5753、CVE-2017-5754） | 2018 年 1 月 3 日 |
| TS102723 | McAfee Live Safe 和 McAfee Security Scan Plus 更新修复了中间人攻击漏洞（CVE-2017-3897 和 CVE-2017-3898） | 2017 年 8 月 31 日 |
| TS102714 | McAfee Security Scan Plus 更新修复了潜在中间人攻击漏洞 (CVE-2017-3897) | 2017 年 7 月28 日 |
| TS102651 | 更新修复了 McAfee AntiVirus Plus、McAfee Internet Security 和 McAfee Total Protection 中的潜在漏洞 (CVE-2017-4028) | 2017 年 3 月 29 日 |
| TS102614 | 已修复 McAfee Security Scan Plus 中的潜在漏洞 (CVE-2016-8026) | 2016 年 12 月 21 日 |
| TS102593 | Security Scan Plus 更新修复了 McUICnt.exe 的危险负载 (CVE-2016-8008) | 2016 年 11 月 14 日 |
| TS102570 | 已修复“McOemCpy.exe”加载未经身份验证的 DLL 文件的漏洞 | 2016 年 10 月 7 日 |
| TS102516 | McAfee Total Protection Suite 更新修复了 McAfee File Lock 中的缓冲区溢出和内存泄露漏洞 (CVE-2015-8772) | 2016 年 4 月 28 日 |
| TS102462 | 多个 McAfee 安装程序和卸载程序的安全修补程序（CVE-2015-8991、CVE-2015-8992、CVE-2015-8993） | 2015 年 12 月 3 日 |
| TS102504 | 如何通知 McAfee 个人用户产品中的潜在漏洞 | 操作指南文档 |
如果了解有关 McAfee 产品安全问题或漏洞的信息，请发送电子邮件至 PSIRT@McAfee.com。 使用 McAfee 的 PGP 公钥加密敏感信息。
请提供尽可能多的信息，包括：
- 发现人的联系信息：
- 姓名（全名或昵称）
- 物理地址（精确至国家级）
- 附属机构/公司
- 电子邮件地址
- 手机号码
- 产品信息：
- 受影响的产品和/或硬件版本（内部版本号，如果已知）
- 操作系统，如果已知
- 软件和/或硬件配置
- 漏洞信息：
- 漏洞的详细描述
- 用于创建/验证漏洞的示例代码
- 已知漏洞利用攻击信息
- CVE 数量（如果已对漏洞进行存档）
- 可能帮助执行工程分析或识别根源的详细信息的 URL 或链接
- 通信计划：
- 公布计划（日期和场所）
- 公认为安全公告发现人的权限
McAfee Product Security Group (PSG) 和/或 Product Security Incident Response Team (PSIRT) 成员将审核您的电子邮件，并联系您协同解决相关问题。
分流所有产品漏洞由 McAfee Product Security Group 负责处理。 有关其他问题，请联系下列小组之一：
IT 应用程序和 Web 应用程序漏洞由 McAfee Global Security Services (GSS) 的安全运营中心 (SOC) 负责处理。
IT 应用程序或 Web 漏洞
McAfee 安全运营中心 (SOC)
电子邮件： abuse.report@mcafee.com
电话：+1 972-987-2745
有关当前配送产品的性能的外部查询由 McAfee 技术支持部门负责处理。
产品或软件性能，或者订购问题
McAfee 技术支持
网址：http://www.mcafee.com/cn/support.aspx
病毒和恶意软件样本由 McAfee Labs 负责处理。
提交病毒示例
McAfee Labs
电子邮件：virus_research@mcafee.com
网址：http://www.mcafee.com/enterprise/zh-cn/threat-center/how-to-submit-sample.html
联系 McAfee PSIRT
电子邮件：PSIRT@McAfee.com
电话：+1 408-753-5752
PSIRT 策略声明
可行性
如果未开发出可行的解决办法、补丁、修补程序或版本更新，McAfee 不会公开发布产品或软件漏洞；否则，只会让黑客社区知道我们的产品是攻击目标，导致我们的客户面临更大的风险。 对于引起大量媒体关注的漏洞（如 HeartBleed），我们将发布横幅，说明我们已经知道且正在采取行动。
公平公正
出于公正起见，McAfee 会同时向所有客户披露产品漏洞。 大客户通常不会提前获得通知。 提前通知可能会由 PSG 逐一发出，但需严格遵循保密协议。
发现人
McAfee 仅在下列情况下信任外部漏洞发现人：
- 发现人愿意被标识为发现人。
- 发现人不会对我们发动“零日”攻击，也不会在 SB 或 KB 发布之前公开其研究成果。
组织和/或个人均可标识为发现人。
CVSS 评分
将会采用最新 Common Vulnerability Scoring System (CVSS) 版本。 目前采用 CVSS v3。
所有安全公告必须包括每个漏洞的评分以及相关 CVSS 向量。 基本分数为必需。 临时分数和环境分数为可选。 基本评分应与 NIST 为 CVE 打出的分数相符。
Support Notification Service (SNS) 邮件
所有安全公告必需提供 Support Notification Service (SNS) 邮件、声明或警报。 这是 McAfee Enterprise Support 客户和其他客户所依赖的一项服务。
要订购 SNS 文本警报，请转到 SNS 请求中心并订阅。
响应策略
McAfee 的修复和警报响应均取决于最高的 CVSS 基本评分。
| 优先级（安全性） | CVSS v2 分数 | 典型修复响应* | SNS |
|---|---|---|---|
| P1 - 严重 | 8.5-10.0 高 | 修补程序 | 警报 |
| P2 - 高 | 7.0-8.4 高 | 补丁 | 通知 |
| P3 - 中 | 4.0-6.9 中 | 补丁 | 通知 |
| P4 - 低 | 0.0-3.9 低 | 版本更新 | 可选 |
| P5 - 信息 | 0.0 | 将不修复。 信息。 | 不适用 |
*注意：修复响应基于漏洞的严重性、产品生命周期以及修复的可行性。 上述典型的修复响应并非承诺为所有支持的产品版本提供修补程序、补丁或版本更新。
外部通信机制
McAfee 的外部通信机制取决于 CVSS 基本分数、客户咨询数量和媒体关注程度。
- SB = 安全公告 (4-10)
- KB = 知识库文章 (2-4)
- SS = 维持声明 (0-4)
- NN = 不需要 (0)
| CVSS = 0 低 | 0 < CVSS < 4 低 | 4 ≤ CVSS < 7 中 | 7 ≤ CVSS ≤ 10 高 |
|
|---|---|---|---|---|
| 外部披露 (CVE) | 如果多项查询，请选择 KB；否则，选择 NN | KB | SB、SNS | SB、SNS |
| 客户披露 | SS | SS | SB、SNS | SB、SNS |
| 内部披露 | NN | 发布说明文档 | SB（发行后），发布说明文档 | SB （发行后），发布说明文档 |
危机场景
对于众所周知、影响多种产品的高危漏洞，可能会先发布安全公告及一个产品的补丁，然后再在其他产品的其他补丁和描述可用时进行更新。
涵盖多款易受攻击的产品的安全公告将会按以下类别列出所有产品、企业和个人用户：
- 易受攻击且已更新
- 易受攻击但未更新
- 易受攻击但风险低（指定标准部署最佳实践）
- 不易受攻击
- 正在接受调查（可选）
除非面临危机场景，否则通常不在周五下午发布安全公告。
漏洞对比风险分数
McAfee 参与了行业标准 CVSS 漏洞评分系统。 CVSS 分数是确定特定漏洞可对 McAfee 的客户造成多大风险的基准。 CVSS 分数不应与可能出现在 McAfee 产品中或 McAfee 产品在其上执行的相关运行时环境的漏洞严重程度的风险评级混淆。
从 CVSS 分数开始，McAfee 使用“Just Good Enough Risk Rating”(JGERR) 来评价可能影响 McAfee 产品的任何潜在问题的风险。 JGERR 成为 2012 年的 SANS Institute 智能指导 (Smart Guide)。 JGERR 基于“Factor Analysis of Information Risk”(FAIR)，后者是 Open Group 标准。 使用 JGERR 评估风险等级时，在风险分析中将以下各方面都纳入了考虑因素：威胁代理的存在和活动、攻击向量、对于威胁代理的漏洞暴露、利用漏洞的便利性或困难度以及来自利用的诸多影响。 隔离中的漏洞仅仅是 McAfee 风险评级的一个方面。
CVSS 基本分数确定我们对于指定事件的初始响应。 McAfee 风险评级确定我们交付修补程序或更新的速度。
安全公告可能包含具有以下名称的产品列表：易受攻击、不易受攻击、易受攻击但是不可利用以及易受攻击但是风险较低。 下面的列表说明了这些类别中的每一个在潜在客户影响方面的含义：
- 易受攻击：产品包含经证实的漏洞。 漏洞会给客户带来某些级别的风险。 可将相关 CVSS 分数用作在典型的部署场景中利用漏洞的影响严重程度的指示。
- 不易受攻击：产品不存在漏洞，或者无法以任何方式利用存在的易受攻击的组件。 使用产品不会给客户带来额外风险。
- 易受攻击但是不可利用：产品包含漏洞，漏洞形式可为映像中包含的库或可执行文件，但是产品具有充分的安全控制措施，因此漏洞不会暴露给威胁代理，让漏洞的利用难以进行或无法进行。 使用产品不会给客户带来额外风险。
- 易受攻击但是风险较低：产品包含漏洞，漏洞形式可为映像中包含的库或可执行文件，但是利用造成的影响可忽略不计，并且利用不会为攻击者带来额外价值。 在建议的和典型的部署场景中使用产品对客户造成的额外风险很小。
