Definition Common Vulnerabilities and Exposures (CVE)

Was ist CVE?

| Autor / Redakteur: Stefan Luber / Peter Schmitz

Die Common Vulnerabilities and Exposures (CVE) sind eine standardisierte Liste von IT-Schwachstellen und Sicherheitslücken.
Die Common Vulnerabilities and Exposures (CVE) sind eine standardisierte Liste von IT-Schwachstellen und Sicherheitslücken. (Bild: Mitre)

Bei den Common Vulnerabilities and Exposures (CVE) handelt es sich um eine standardisierte Liste über Schwachstellen und Sicherheitsrisiken von Computersystemen. Dank der eindeutigen Benennung wird der Datenaustausch über Schwachstellen und Sicherheitsrisiken vereinfacht. Laufende Nummern identifizieren die verschiedenen Einträge eindeutig.

Die Abkürzung CVE steht für Common Vulnerabilities and Exposures. Es handelt sich um einen Standard, der Schwachstellen und Sicherheitsrisiken von Computersystemen eindeutig benennt und in einem allgemein zugänglichen Verzeichnis auflistet. Ziel ist es, den Datenaustausch über Schwachstellen beispielsweise zwischen verschiedenen Herstellern zu vereinfachen und eine eindeutige Identifikation zu ermöglichen. IPS- oder IDS-Systeme können das CVE-Verzeichnis in ihrem Vulnerability-Management verwenden.

Grundsätzlich unterscheidet das Verzeichnis zwischen Sicherheitslücken, Schwachstellen und Exposures. Während Sicherheitslücken durch einen Fehler im Code verursacht werden und direkten Zugriff auf ein System ermöglichen, gestattet ein Exposure indirekten Zugang und beispielsweise das Kopieren von Kundendaten oder das unbefugte Erlangen weiterer Rechte. Die CVEs pflegt das sogenannte CVE Editorial Board. Mitglieder sind Vertreter von Sicherheitsorganisationen, akademische Institutionen, Hersteller und Sicherheitsexperten. Moderator im Editorial Board ist die gemeinnützige MITRE Corporation, die von der US-amerikanischen Regierung unterstützt wird. Die MITRE verwaltet auch die Website. Seit 1999 werden CVE-Nummern vergeben.

CVE & Co. für Einsteiger

Common Vulnerabilities and Exposures (CVE)

CVE & Co. für Einsteiger

31.08.18 - Sicherheitslücken stellen seit Jahren eine gewaltige Bedrohung für die Sicherheit von IT-Systemen dar. Damit Sicherheitsexperten, Entwickler und Anwender weltweit gemeinsam an der Beseitigung von Sicherheitslücken arbeiten können bedarf es eines einheitlichen Schemas zur Identifikation der Schwachstellen. Das Common Vulnerabilities and Exposures (CVE) bildet dazu seit 1999 einen unverzicht­baren Industriestandard. lesen

Ziele der Common Vulnerabilities and Exposures

Hauptziel der Common Vulnerabilities and Exposures ist es, bekannte Schwachstellen oder Expositionen eindeutig zu benennen, um Administratoren oder Herstellern einen schnellen Zugriff auf Informationen über Bedrohungen zu ermöglichen. Dank der eindeutigen Nummern kann auf weitere CVE-kompatible Informationsquellen schnell zugegriffen werden. Common Vulnerabilities and Exposures erleichtern die Suche in anderen Datenbanken und gestatten einen Austausch von Daten zwischen Herstellern mit ihren verschiedenen Sicherheitstools.

Die Syntax der CVEs

CVE-Namen, auch CVE-IDs oder nur CVEs genannt, sind nach einer genau definierten Syntax aufgebaut. Jeder Name enthält die folgenden Angaben:

  • eine eindeutige Identifikationsnummer beispielsweise CVE-1999-0050
  • den Status "Entry" oder "Candidate"
  • eine kurze Beschreibung der Sicherheitslücke oder des Exposures
  • passende Referenzen

Die Fortlaufenden Identifikationsnummern waren zu Beginn vierstellig mit führenden Nullen. Mittlerweile erlaubt das Format beliebig viele Stellen (mindestens jedoch vier).

Die verschiedenen Stati der CVE

CVEs unterscheiden die zwei Stati "Entry" und "Candidate" (Eintrag oder Kandidat). Der Entry-Status sagt aus, dass die ID von der Common Vulnerabilities and Exposures Liste akzeptiert ist. Ein Eintrag mit dem Status Candidate steht unter Beobachtung und ist noch nicht offiziell in die Liste aufgenommen. Es wird noch geprüft, ob eine Aufnahme in die Liste erfolgt.

Die CVE-Auflistung bekannter Sicherheitslücken

Common Vulnerabilities and Exposures

Die CVE-Auflistung bekannter Sicherheitslücken

10.10.18 - Im Rahmen von IT-Security-Warnungen werden oft CVE-Einträge genannt, die bestimmte Lücken und Risiken in Software-Produkten adressieren. Aber was genau steckt hinter den Common Vulnerabilities and Exposures? lesen

Bedeutung der CVE-Kompatibilität

Datenbanken, Security-Tools oder Webseiten können CVE-kompatibel sein. Die Kompatibilität sagt aus, dass CVE-IDs korrekt und gemäß der Syntax verwendet werden, um sie mit anderen Informationen zu verknüpfen. So ist sichergestellt, dass sich die kompatiblen Services und Anwendungen untereinander austauschen können. Die vier Mindestanforderungen für die Kompatibilität sind:

  • Schwachstellen und zugehörige Informationen sind unter der CVE-ID auffindbar,
  • die angebotenen Informationen verwenden CVE-Namen,
  • die Dokumentation enthält Beschreibungen zur Kompatibilität und Informationen, wie die bereitgestellten Informationen für andere Dienste oder Produkte nutzbar sind,
  • der Eigentümer eines Repositories hat eine exakte Zuordnung zu spezifischen CVE-Versionen sichergestellt.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Bluetooth-Schwachstelle in allen Windows-10-Versionen

Microsoft Patchday Juni 2019

Bluetooth-Schwachstelle in allen Windows-10-Versionen

Microsoft hat zum Patchday im Juni 2019 neben Sicherheitspatches für eine Bluetooth-Schwachstelle in allen Windows-10-Versionen auch einige Updates für Windows 7/8.1 und Windows Server 2008 R2/2012/2012 R2 bereitgestellt. Diese sollen unter anderem Probleme mit Antivirus-Software beheben lesen

Wurmkur für Windows XP bis Server 2008

BSI und Infoblox warnen vor neuem WannaCry

Wurmkur für Windows XP bis Server 2008

Aus Sorge vor einer erneuten Wurmepidemie hat Microsoft die eigentlich nicht mehr gepflegten Windows-Versionen XP und Server 2003 mit einem Patch versorgt – und damit womöglich eine Neuauflage des WannaCry-Angriffes verhindert. lesen

Intel bestätigt Sicherheitslücken in CPUs

Microarchitectural Data Sampling aka ZombieLoad, RIDL und Fallout

Intel bestätigt Sicherheitslücken in CPUs

Intel bestätigt vier von Meltdown inspirierte Angriffsmöglichkeiten auf CPUs. Die haben größtenteils mittelschwere Security-Auswirkungen. Programmschnipsel und Microcode Updates sollen die als MDS, Zombieload, RIDL oder Fallout bezeichneten Probleme eindämmen. lesen

Wichtige Windows-Updates sogar für Windows XP

Microsoft Patchday Mai 2019

Wichtige Windows-Updates sogar für Windows XP

Microsoft hat am Patchday im Mai 2019 für alle unterstützten Windows-Systeme Updates zur Verfügung gestellt. Dieses Mal wurde auch ein Update für Windows XP, Vista und Windows Server 2003 bereitgestellt. Die neue Seitenkanal-Malware ZombieLoad steht im Mai im Fokus der Updates. Wir geben einen Überblick. lesen

Spyware per WhatsApp-Lücke installiert

Anwalt angegriffen, Technik der NSO Group unter Verdacht

Spyware per WhatsApp-Lücke installiert

Eine Schwachstelle in Facebooks mobilem Messenger WhatsApp wurde für gezielte Angriffe benutzt. Dabei kam offenbar eine Spyware der israelischen NSO Group zum Einsatz. Die bestreitet zwar eine Massenüberwachung, Nutzer sollten die Lösung dennoch dringend updaten. lesen

Wichtige Updates für Windows 10 und Windows 7/8.1

Update: Microsoft Patchday April 2019

Wichtige Updates für Windows 10 und Windows 7/8.1

Microsoft hat am Patchday April 2019 wieder einige wichtige Updates zur Verfügung gestellt. Neben Aktuslisierungen für die bereits veröffentlichten Windows-Versionen gibt es auch Updates für die nächste Windows 10 Version 1903, auch „Mai 2019 Update“ genannt. lesen

Uralte Schwachstellen in WinRAR und Linux

Directory Traversal und Pufferüberlauf in crypto/af_alg.c

Uralte Schwachstellen in WinRAR und Linux

Zwei im Februar gefixte Sicherheitslücken haben erneut vor Augen geführt, wie lange Bugs mitunter von der Allgemeinheit unentdeckt in Softwareprogrammen schlummern – und das selbst in Open Source Software. lesen

Handlungsbedarf bei Office und Exchange

Microsoft Patchday Februar 2019

Handlungsbedarf bei Office und Exchange

Mit dem Patchday im Februar behebt Microsoft verschiedene Lücken, über die Angreifer vertrauliche Informationen abgreifen konnten. Zudem verteilt der Anbieter weitere kritische Fixes für Adobe Flash Player sowie Windows und rät Nutzern an anderer Stelle, selbst tätig zu werden. lesen

Updates für alle aktuellen Windows 10-Versionen

Microsoft Patchday Januar 2019

Updates für alle aktuellen Windows 10-Versionen

Zum ersten Patchday des Jahres 2019 am 08. Januar hat Microsoft wieder einige kumulative Updates für Windows 10 und Windows Server 2019 zur Verfügung gestellt. Mit den Updates werden einige Fehler behoben und Sicherheitslücken geschlossen. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45579222 / Definitionen)