Definition Common Vulnerabilities and Exposures Was ist CVE?

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Bei den Common Vulnerabilities and Exposures (CVE) handelt es sich um eine standardisierte Liste über Schwachstellen und Sicherheitsrisiken von Computersystemen. Dank der eindeutigen Benennung wird der Datenaustausch vereinfacht. Laufende Nummern identifizieren die verschiedenen Einträge eindeutig.

Die Abkürzung CVE steht für Common Vulnerabilities and Exposures. Dabei handelt es sich um einen Standard, der Schwachstellen und Sicherheitsrisiken von Computersystemen eindeutig benennt und in einem allgemein zugänglichen Verzeichnis auflistet. Ziel ist es, den Datenaustausch über Schwachstellen beispielsweise zwischen verschiedenen Herstellern zu vereinfachen und eine eindeutige Identifikation zu ermöglichen. IPS- oder IDS-Systeme können das CVE-Verzeichnis in ihrem Vulnerability-Management verwenden.

Wer gibt CVE heraus?

Grundsätzlich unterscheidet das Verzeichnis zwischen Sicherheitslücken, Schwachstellen und Exposures. Während Sicherheitslücken durch einen Fehler im Code verursacht werden und direkten Zugriff auf ein System ermöglichen, gestattet ein Exposure indirekten Zugang und beispielsweise das Kopieren von Kundendaten oder das unbefugte Erlangen weiterer Rechte. Die CVEs pflegt das sogenannte CVE Editorial Board. Mitglieder sind Vertreter von Sicherheitsorganisationen, akademische Institutionen, Hersteller und Sicherheitsexperten. Moderator im Editorial Board ist die gemeinnützige MITRE Corporation, die von der US-amerikanischen Regierung unterstützt wird. Die MITRE verwaltet auch die Website. Seit 1999 werden CVE-Nummern vergeben.

Common Vulnerabilities and Exposures (CVE)

CVE & Co. für Einsteiger

Wo findet man den aktuellsten CVE?

Den aktuellen CVE einer bekannten Schwachstelle findet man im CVE-Verzeichnis von MITRE. DOrt kann man nach direkt nach dem CVE-Namen suchen, sofern dessen ID bekannt ist. Außerdem kann man nach einem oder mehreren Stichworten suchen. Um die Ergebnisse zu optimieren, hat MITRE eine Liste mit Such-Tipps für CVEs veröffentlicht.

Für die Suche nach einer aktuellen CVE ist wichtig zu wissen, dass CVE-Namen, auch CVE-IDs oder nur CVEs genannt, nach einer genau definierten Syntax aufgebaut sind. Jeder Name enthält die folgenden Angaben:

• eine eindeutige Identifikationsnummer beispielsweise CVE-1999-0050

• den Status „Entry“ oder „Candidate“

• eine kurze Beschreibung der Sicherheitslücke oder des Exposures

• passende Referenzen

Die Fortlaufenden Identifikationsnummern waren zu Beginn vierstellig mit führenden Nullen. Mittlerweile erlaubt das Format beliebig viele Stellen (mindestens jedoch vier).

CVEs unterscheiden die zwei Stati „Entry“ und „Candidate“ (Eintrag oder Kandidat). Der Entry-Status sagt aus, dass die ID von der Common Vulnerabilities and Exposures Liste akzeptiert ist. Ein Eintrag mit dem Status Candidate steht unter Beobachtung und ist noch nicht offiziell in die Liste aufgenommen. Es wird noch geprüft, ob eine Aufnahme in die Liste erfolgt.

Common Vulnerabilities and Exposures

Die CVE-Auflistung bekannter Sicherheitslücken

Ziele der Common Vulnerabilities and Exposures

Hauptziel der Common Vulnerabilities and Exposures ist es, bekannte Schwachstellen oder Expositionen eindeutig zu benennen, um Administratoren oder Herstellern einen schnellen Zugriff auf Informationen über Bedrohungen zu ermöglichen. Dank der eindeutigen Nummern kann auf weitere CVE-kompatible Informationsquellen schnell zugegriffen werden. Common Vulnerabilities and Exposures erleichtern die Suche in anderen Datenbanken und gestatten einen Austausch von Daten zwischen Herstellern mit ihren verschiedenen Sicherheitstools.

Bedeutung der CVE-Kompatibilität

Datenbanken, Security-Tools oder Webseiten können CVE-kompatibel sein. Die Kompatibilität sagt aus, dass CVE-IDs korrekt und gemäß der Syntax verwendet werden, um sie mit anderen Informationen zu verknüpfen. So ist sichergestellt, dass sich die kompatiblen Services und Anwendungen untereinander austauschen können. Die vier Mindestanforderungen für die Kompatibilität sind:

• Schwachstellen und zugehörige Informationen sind unter der CVE-ID auffindbar,

• die angebotenen Informationen verwenden CVE-Namen,

• die Dokumentation enthält Beschreibungen zur Kompatibilität und Informationen, wie die bereitgestellten Informationen für andere Dienste oder Produkte nutzbar sind,

• der Eigentümer eines Repositories hat eine exakte Zuordnung zu spezifischen CVE-Versionen sichergestellt.

CVSS-Wert ist unzureichend

Unternehmen schließen nur selten Sicherheitslücken

(ID:45579222)