<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:x="urn:schemas-microsoft-com:office:excel" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=us-ascii">
<meta name="Generator" content="Microsoft Word 15 (filtered medium)">
<style><!--
/* Font Definitions */
@font-face
        {font-family:"Cambria Math";
        panose-1:2 4 5 3 5 4 6 3 2 4;}
@font-face
        {font-family:Calibri;
        panose-1:2 15 5 2 2 2 4 3 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
        {margin:0in;
        margin-bottom:.0001pt;
        font-size:11.0pt;
        font-family:"Calibri",sans-serif;}
a:link, span.MsoHyperlink
        {mso-style-priority:99;
        color:#0563C1;
        text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
        {mso-style-priority:99;
        color:#954F72;
        text-decoration:underline;}
p.MsoPlainText, li.MsoPlainText, div.MsoPlainText
        {mso-style-priority:99;
        mso-style-link:"Plain Text Char";
        margin:0in;
        margin-bottom:.0001pt;
        font-size:11.0pt;
        font-family:"Calibri",sans-serif;}
span.PlainTextChar
        {mso-style-name:"Plain Text Char";
        mso-style-priority:99;
        mso-style-link:"Plain Text";
        font-family:"Calibri",sans-serif;}
.MsoChpDefault
        {mso-style-type:export-only;
        font-family:"Calibri",sans-serif;}
@page WordSection1
        {size:8.5in 11.0in;
        margin:1.0in 1.0in 1.0in 1.0in;}
div.WordSection1
        {page:WordSection1;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]-->
</head>
<body lang="EN-US" link="#0563C1" vlink="#954F72">
<div class="WordSection1">
<p class="MsoPlainText">Hi Marek,<o:p></o:p></p>
<p class="MsoPlainText"><o:p> </o:p></p>
<p class="MsoPlainText">Thanks for your reply.<o:p></o:p></p>
<p class="MsoPlainText"><o:p> </o:p></p>
<p class="MsoPlainText">I'm using the RHEL7 xccdf that is shipped with scap security guide. So based on your reply it looks like, these XCCDF xmls which are part of ssg will not have CVE linked.<o:p></o:p></p>
<p class="MsoPlainText"><o:p> </o:p></p>
<p class="MsoPlainText">In that case, can you please guide me the location from where I can get the required xmls for evaluating all platforms supported by OSCAP?
<o:p></o:p></p>
<p class="MsoPlainText"><o:p> </o:p></p>
<p class="MsoPlainText">Also, is the command going to be similar to xccdf, right now I'm using below two commands,<o:p></o:p></p>
<p class="MsoPlainText">oscap xccdf eval --profile <profile_name> --results <result_xml> --progress <xccdf_xml><o:p></o:p></p>
<p class="MsoPlainText">oscap xccdf eval --remediate --profile <profile_name> --tailoring-file <tailoring_file> --results <result_xml> --progress <xccdf_xml><o:p></o:p></p>
<p class="MsoPlainText"><o:p> </o:p></p>
<p class="MsoPlainText">Will the command remain same for oval as well, except for changing “oscap xccdf eval” to “oscap oval eval”? Please clarify.<o:p></o:p></p>
<p class="MsoPlainText"><o:p> </o:p></p>
<p class="MsoPlainText">Regards,<o:p></o:p></p>
<p class="MsoPlainText">Bharath M<o:p></o:p></p>
<p class="MsoPlainText"><o:p> </o:p></p>
<p class="MsoPlainText">-----Original Message-----<br>
From: Marek Haicman <mhaicman@redhat.com> <br>
Sent: Thursday, August 30, 2018 5:53 PM<br>
To: Mohanraj, Bharath <bharath_mohanraj_tp@bmc.com>; open-scap-list <open-scap-list@redhat.com><br>
Subject: Re: [Open-scap] OSCAP - CVE information</p>
<p class="MsoPlainText"><o:p> </o:p></p>
<p class="MsoPlainText">On 08/30/2018 02:05 PM, Mohanraj, Bharath wrote:<o:p></o:p></p>
<p class="MsoPlainText">> Hi Team,<o:p></o:p></p>
<p class="MsoPlainText">> <o:p></o:p></p>
<p class="MsoPlainText">> I’m using the oscap scanner on linux boxes, for triggering “oscap
<o:p></o:p></p>
<p class="MsoPlainText">> xccdf eval” command. In the output generated, one of the info I would
<o:p></o:p></p>
<p class="MsoPlainText">> need to present is the CVE for each rule. However, I don’t see the CVE
<o:p></o:p></p>
<p class="MsoPlainText">> info for the rules  in the xccdf xmls (no <ident> tag for CVEs under the rules).<o:p></o:p></p>
<p class="MsoPlainText">> <o:p></o:p></p>
<p class="MsoPlainText">> Can you please help me understand how I can capture the CVE associated
<o:p></o:p></p>
<p class="MsoPlainText">> with each rule?<o:p></o:p></p>
<p class="MsoPlainText">> <o:p></o:p></p>
<p class="MsoPlainText">> Regards,<o:p></o:p></p>
<p class="MsoPlainText">> <o:p></o:p></p>
<p class="MsoPlainText">> Bharath M<o:p></o:p></p>
<p class="MsoPlainText"><o:p> </o:p></p>
<p class="MsoPlainText">Hello Bharath,<o:p></o:p></p>
<p class="MsoPlainText">what xccdf xmls are you using? In case you target RHEL, then CVE vulnerabilities are detected using content downloaded from
<a href="https://urldefense.proofpoint.com/v2/url?u=https-3A__www.redhat.com_security_data_oval_&d=DwID-g&c=UrUhmHsiTVT5qkaA4d_oSzcamb9hmamiCDMzBAEwC7E&r=AUaowh4kDgwmfFF8B9dpIGVcrfeOZDaHu6Di1CZTnp4&m=kMwq-DtTaQQ9c8tjyXsXju19K6K3emMl8b7SruHINqw&s=frx6brG1Kc18pnlMd88AWwt5zzw3ub6N5OhX2PSOZJE&e">
<span style="color:windowtext;text-decoration:none">https://urldefense.proofpoint.com/v2/url?u=https-3A__www.redhat.com_security_data_oval_&d=DwID-g&c=UrUhmHsiTVT5qkaA4d_oSzcamb9hmamiCDMzBAEwC7E&r=AUaowh4kDgwmfFF8B9dpIGVcrfeOZDaHu6Di1CZTnp4&m=kMwq-DtTaQQ9c8tjyXsXju19K6K3emMl8b7SruHINqw&s=frx6brG1Kc18pnlMd88AWwt5zzw3ub6N5OhX2PSOZJE&e</span></a>= 
 and scanned using `oscap oval eval`. Content shipped in SCAP Security Guide is configuration guidance which is different approach to security. Thus no CVE information is linked.<o:p></o:p></p>
<p class="MsoPlainText"><o:p> </o:p></p>
<p class="MsoPlainText">In case you consume CVE content for different platforms, it's up to them to produce it with proper metadata.<o:p></o:p></p>
<p class="MsoPlainText"><o:p> </o:p></p>
<p class="MsoPlainText">Hope it helps,<o:p></o:p></p>
<p class="MsoPlainText">Marek<o:p></o:p></p>
</div>
</body>
</html>