miniatura|Exemple d'error de MediaWiki als EUA, base de dades de vulnerabilitats La base de dades nacional de vulnerabilitats (National Vulnerability Database, NVD) és el dipòsit del govern dels EUA de dades de gestió de vulnerabilitats basades en estàndards representades mitjançant el Security Content Automation Protocol (SCAP). Aquestes dades permeten l'automatització de la gestió de vulnerabilitats, la mesura de seguretat i el compliment. NVD inclou bases de dades de llistes de verificació de seguretat, defectes de programari relacionats amb la seguretat, configuracions incorrectes, noms de productes i mètriques d'impacte. NVD és compatible amb el Programa d'automatització de la seguretat de la informació (ISAP). NVD està gestionat per l'agència del govern dels EUA, l'Institut Nacional d'Estàndards i Tecnologia (NIST).
El divendres 8 de març de 2013, la base de dades es va desconnectar després que es va descobrir que el sistema utilitzat per executar diversos llocs governamentals havia estat compromès per una vulnerabilitat de programari d'Adobe ColdFusion.
El juny de 2017, l'empresa d'intel·ligència d'amenaces Recorded Future va revelar que el retard mitjà entre la revelació d'un CVE i la publicació final a l'NVD és de 7 dies i que el 75% de les vulnerabilitats es publiquen de manera extraoficial abans d'arribar a l'NVD, donant temps als atacants per explotar la vulnerabilitat.
A més de proporcionar una llista de vulnerabilitats i exposicions comunes (CVE), l'NVD puntua les vulnerabilitats mitjançant el Common Vulnerability Scoring System (CVSS) que es basa en un conjunt d'equacions que utilitzen mètriques com ara la complexitat d'accés i la disponibilitat d'un remei.
L'agost de 2023, el NVD va marcar inicialment un error de desbordament d'enters en versions antigues de cURL com una vulnerabilitat crítica de 9,8 sobre 10. El desenvolupador principal de cURL, Daniel Stenberg, va respondre dient que no es tractava d'un problema de seguretat, que l'error s'havia arreglat gairebé 4 anys abans, va demanar que es rebutgés el CVE i va acusar NVD de "espantar" i d'"inflar molt el nivell de gravetat dels problemes". MITRE no va estar d'acord amb Stenberg i va negar la seva petició de rebutjar el CVE, assenyalant que "hi ha una debilitat vàlida... que pot provocar un impacte de seguretat vàlid". Al setembre de 2023, l'NVD va tornar a valorar el problema com a vulnerabilitat 3.3 "baixa", afirmant que "pot (en teoria) provocar una denegació de servei" per als sistemes atacats, però que aquest vector d'atac "no és especialment plausible".
Referències
Categoria:Bases de dades Categoria:Programari