CVE () — база данных общеизвестных уязвимостей информационной безопасности. Каждой уязвимости присваивается идентификационный номер вида CVE-год-номер, описание и ряд общедоступных ссылок с описанием.
Поддержкой CVE занимается организация .
Финансированием проекта CVE занимается US-CERT.
Особенности Один идентификатор для одной уязвимости. Стандартизированное описание уязвимостей. Бесплатная загрузка и использование.
История Проект CVE был официально запущен для общественности в сентябре 1999 года. В то время большинство инструментов информационной безопасности использовали собственные базы данных с собственными именами для уязвимостей. Были значительные различия между продуктами и не было простого способа определить, когда разные базы данных ссылались на одну и ту же проблему. Последствиями были потенциальные пробелы в охвате безопасности и отсутствие совместимости между разрозненными базами данных и инструментами. Кроме того, поставщики инструментов по-разному считали количество уязвимостей, которые они обнаружили.
2025: Окончание контракта с МВБ 15 апреля 2025 года стало известно, что контракт между MITRE и правительством США, срок действия которого истекает на следующий день, не будет продлен. Если это произойдет, у CVE закончится финансирование и, скорее всего, она будет закрыта. Без CVE возникнут неблагоприятные последствия для управления уязвимостями, поскольку у экспертов по кибербезопасности больше не будет данных об эксплойтах из базы данных CVE.
Общий вид записи Выглядит примерно так: CVE ID, Reference и Description
ID записывается с указанием года и порядкового номера, например, «CVE-2017-5754». В поле Reference записываются ссылки на патчи, документы рекомендательного рода или комментарии разработчика. Description отвечает за описание самой уязвимости. CVE — система широкого профиля и не сосредотачивается только на клиентских уязвимостях или исключительно на WEB-протоколе. Изначально она задумывалась как единый стандарт идентификации уязвимостей, который должен охватывать несколько звеньев информационной системы: систему поиска и обнаружения брешей (например, сканер безопасности), антивирусное ПО, а также исследуемое ПО.
Примеры критических уязвимостей Heartbleed: CVE-2014-0160 Bashdoor: CVE-2014-6271 : CVE-2015-1538, CVE-2015-1539, CVE-2015-3824, CVE-2015-3826, CVE-2015-3827, CVE-2015-3828, CVE-2015-3829, CVE-2015-3864, CVE-2015-6602 Badlock: CVE-2016-0128, CVE-2016-2118 Dirty COW: CVE-2016-5195 BlueBorne: CVE-2017-1000251, CVE-2017-1000250, CVE-2017-0785, CVE-2017-0781, CVE-2017-0782, CVE-2017-0783, CVE-2017-8628, CVE-2017-14315 Meltdown: CVE-2017-5754 Spectre: CVE-2017-5753, CVE-2017-5715 BlueKeep: CVE-2019-0708 PrintNightmare: CVE-2021-1675, CVE-2021-34527, CVE-2021-34481 Log4Shell: CVE-2021-44228
Альтернативы ; (Open Sourced Vulnerability Database) — «открытая база данных уязвимостей», созданная тремя некоммерческими организациями. Прекратила работу 5 апреля 2016 года. Блог продолжает работать; Secunia — лента уязвимостей известной датской компании Secunia в области компьютерной и сетевой безопасности; IBM ISS X-Force.
Встречаются и другие классификаторы. При работе с ними следует обращать внимание на авторов, так как каждая система классификации должна создаваться экспертами в области информационной безопасности.
См. также Common Vulnerability Scoring System OVAL (CWE) — система классификации ошибок, приводящих к уязвимостям. Банк данных угроз безопасности информации ФСТЭК РФ Классификаторы уязвимостей
Примечания
Ссылки
https://cve.mitre.org/cve/data_sources.html https://cve.mitre.org/about/faqs.html Меряем уязвимости: классификаторы и метрики компьютерных брешей — Журнал «Хакер» 15.05.2009
Категория:Информационная безопасность Категория:Уязвимости защиты Категория:Компьютерная безопасность