Definition Common Vulnerabilities and Exposures (CVE)

Was ist CVE?

| Autor / Redakteur: Stefan Luber / Peter Schmitz

Die Common Vulnerabilities and Exposures (CVE) sind eine standardisierte Liste von IT-Schwachstellen und Sicherheitslücken.
Die Common Vulnerabilities and Exposures (CVE) sind eine standardisierte Liste von IT-Schwachstellen und Sicherheitslücken. (Bild: Mitre)

Bei den Common Vulnerabilities and Exposures (CVE) handelt es sich um eine standardisierte Liste über Schwachstellen und Sicherheitsrisiken von Computersystemen. Dank der eindeutigen Benennung wird der Datenaustausch über Schwachstellen und Sicherheitsrisiken vereinfacht. Laufende Nummern identifizieren die verschiedenen Einträge eindeutig.

Die Abkürzung CVE steht für Common Vulnerabilities and Exposures. Es handelt sich um einen Standard, der Schwachstellen und Sicherheitsrisiken von Computersystemen eindeutig benennt und in einem allgemein zugänglichen Verzeichnis auflistet. Ziel ist es, den Datenaustausch über Schwachstellen beispielsweise zwischen verschiedenen Herstellern zu vereinfachen und eine eindeutige Identifikation zu ermöglichen. IPS- oder IDS-Systeme können das CVE-Verzeichnis in ihrem Vulnerability-Management verwenden.

Grundsätzlich unterscheidet das Verzeichnis zwischen Sicherheitslücken, Schwachstellen und Exposures. Während Sicherheitslücken durch einen Fehler im Code verursacht werden und direkten Zugriff auf ein System ermöglichen, gestattet ein Exposure indirekten Zugang und beispielsweise das Kopieren von Kundendaten oder das unbefugte Erlangen weiterer Rechte. Die CVEs pflegt das sogenannte CVE Editorial Board. Mitglieder sind Vertreter von Sicherheitsorganisationen, akademische Institutionen, Hersteller und Sicherheitsexperten. Moderator im Editorial Board ist die gemeinnützige MITRE Corporation, die von der US-amerikanischen Regierung unterstützt wird. Die MITRE verwaltet auch die Website. Seit 1999 werden CVE-Nummern vergeben.

CVE & Co. für Einsteiger

Common Vulnerabilities and Exposures (CVE)

CVE & Co. für Einsteiger

31.08.18 - Sicherheitslücken stellen seit Jahren eine gewaltige Bedrohung für die Sicherheit von IT-Systemen dar. Damit Sicherheitsexperten, Entwickler und Anwender weltweit gemeinsam an der Beseitigung von Sicherheitslücken arbeiten können bedarf es eines einheitlichen Schemas zur Identifikation der Schwachstellen. Das Common Vulnerabilities and Exposures (CVE) bildet dazu seit 1999 einen unverzicht­baren Industriestandard. lesen

Ziele der Common Vulnerabilities and Exposures

Hauptziel der Common Vulnerabilities and Exposures ist es, bekannte Schwachstellen oder Expositionen eindeutig zu benennen, um Administratoren oder Herstellern einen schnellen Zugriff auf Informationen über Bedrohungen zu ermöglichen. Dank der eindeutigen Nummern kann auf weitere CVE-kompatible Informationsquellen schnell zugegriffen werden. Common Vulnerabilities and Exposures erleichtern die Suche in anderen Datenbanken und gestatten einen Austausch von Daten zwischen Herstellern mit ihren verschiedenen Sicherheitstools.

Die Syntax der CVEs

CVE-Namen, auch CVE-IDs oder nur CVEs genannt, sind nach einer genau definierten Syntax aufgebaut. Jeder Name enthält die folgenden Angaben:

  • eine eindeutige Identifikationsnummer beispielsweise CVE-1999-0050
  • den Status "Entry" oder "Candidate"
  • eine kurze Beschreibung der Sicherheitslücke oder des Exposures
  • passende Referenzen

Die Fortlaufenden Identifikationsnummern waren zu Beginn vierstellig mit führenden Nullen. Mittlerweile erlaubt das Format beliebig viele Stellen (mindestens jedoch vier).

Die verschiedenen Stati der CVE

CVEs unterscheiden die zwei Stati "Entry" und "Candidate" (Eintrag oder Kandidat). Der Entry-Status sagt aus, dass die ID von der Common Vulnerabilities and Exposures Liste akzeptiert ist. Ein Eintrag mit dem Status Candidate steht unter Beobachtung und ist noch nicht offiziell in die Liste aufgenommen. Es wird noch geprüft, ob eine Aufnahme in die Liste erfolgt.

Die CVE-Auflistung bekannter Sicherheitslücken

Common Vulnerabilities and Exposures

Die CVE-Auflistung bekannter Sicherheitslücken

10.10.18 - Im Rahmen von IT-Security-Warnungen werden oft CVE-Einträge genannt, die bestimmte Lücken und Risiken in Software-Produkten adressieren. Aber was genau steckt hinter den Common Vulnerabilities and Exposures? lesen

Bedeutung der CVE-Kompatibilität

Datenbanken, Security-Tools oder Webseiten können CVE-kompatibel sein. Die Kompatibilität sagt aus, dass CVE-IDs korrekt und gemäß der Syntax verwendet werden, um sie mit anderen Informationen zu verknüpfen. So ist sichergestellt, dass sich die kompatiblen Services und Anwendungen untereinander austauschen können. Die vier Mindestanforderungen für die Kompatibilität sind:

  • Schwachstellen und zugehörige Informationen sind unter der CVE-ID auffindbar,
  • die angebotenen Informationen verwenden CVE-Namen,
  • die Dokumentation enthält Beschreibungen zur Kompatibilität und Informationen, wie die bereitgestellten Informationen für andere Dienste oder Produkte nutzbar sind,
  • der Eigentümer eines Repositories hat eine exakte Zuordnung zu spezifischen CVE-Versionen sichergestellt.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Uralte Schwachstellen in WinRAR und Linux

Directory Traversal und Pufferüberlauf in crypto/af_alg.c

Uralte Schwachstellen in WinRAR und Linux

Zwei im Februar gefixte Sicherheitslücken haben erneut vor Augen geführt, wie lange Bugs mitunter von der Allgemeinheit unentdeckt in Softwareprogrammen schlummern – und das selbst in Open Source Software. lesen

Handlungsbedarf bei Office und Exchange

Microsoft Patchday Februar 2019

Handlungsbedarf bei Office und Exchange

Mit dem Patchday im Februar behebt Microsoft verschiedene Lücken, über die Angreifer vertrauliche Informationen abgreifen konnten. Zudem verteilt der Anbieter weitere kritische Fixes für Adobe Flash Player sowie Windows und rät Nutzern an anderer Stelle, selbst tätig zu werden. lesen

Updates für alle aktuellen Windows 10-Versionen

Microsoft Patchday Januar 2019

Updates für alle aktuellen Windows 10-Versionen

Zum ersten Patchday des Jahres 2019 am 08. Januar hat Microsoft wieder einige kumulative Updates für Windows 10 und Windows Server 2019 zur Verfügung gestellt. Mit den Updates werden einige Fehler behoben und Sicherheitslücken geschlossen. lesen

Schwachstelle in Zoom Konferenzsystem

Zoom Message Spoofing Vulnerability

Schwachstelle in Zoom Konferenzsystem

Ein Forschungsteam von Tenable hat eine Schwachstelle in der Zoom Anwendung für Desktop Konferenzen entdeckt (CVE-2018-15715). Durch die Sicherheitslücke können Angreifer Bildschirme kontrollieren, sich als andere Meetingteilnehmer in Chats ausgeben oder andere aus der Konferenz ausschließen. Die Schwachstelle betrifft bis zu 750.000 Unternehmen weltweit. lesen

Konzeption und Planung eines SSDL nach BSI

Secure Software Development Lifecycle, Teil 2

Konzeption und Planung eines SSDL nach BSI

Hier stellen wir das Konzept des sicheren Softwareentwicklungs-Lebenszyklus nach BSI in der zweiten Phase, sprich Konzeption und Planung vor. In der ersten Phase, die wir bereits kennengelernt haben, ging es nämlich nur darum, die Rahmenbedingungen festzulegen. lesen

Massive Schwachstellen in IoT-Protokollen

Gefahr für Spionage und zielgerichtete Angriffe

Massive Schwachstellen in IoT-Protokollen

Trend Micro warnt Unternehmen vor möglichen Sicherheitslücken in ihrer Betriebstechnologie (Operational Technology, OT). Forscher entdeckten massive Schwachstellen und gefährdete Anwendungen von zwei weit verbreiteten Protokollen für die M2M-Kommunikation. Betroffen sind die Protokolle Message Queuing Telemetry Transport (MQTT) und Constrained Application Protocol (CoAP). lesen

Die ganze IT-Security im Blick

Security-Startups im Blickpunkt: Cyberscan.io

Die ganze IT-Security im Blick

IT-Security ist, durchaus vergleichbar, mit einem Eisberg. Bei der Eismasse sind gut 85 Prozent unter Wasser verborgen und nur ein kleiner Rest ist über der Wasserlinie sichtbar. Bei der IT-Sicherheit verhält es sich ebenso, denn Malware-Scanner, die Zwei-Faktor-Authentifi­zierung oder der Bildschirmschoner sind nur die sichtbaren Komponenten. Der größere Security-Teil ist meistens unsichtbar, entfaltet aber oft die größte Wirkung. lesen

Schwachstellen-Management braucht Automatisierung

Patch Management in der Praxis

Schwachstellen-Management braucht Automatisierung

Unternehmen haben mit immer mehr Schwach­stellen in Anwendungen und Betriebssystemen zu kämpfen. Wurden im Jahr 2016 noch 6447 CVE-Security-Vulnerabilities gemeldet, waren es 2017 mit 14714 mehr als doppelt so viele und 2018 wurde auch dieser Rekord bereits im November geknackt. Cyberkriminelle nutzen Sicherheitslücken zudem immer schneller und oft auch automatisiert aus. lesen

Sicherheits-Updates, Windows 10 1809 und Server 2019

Microsoft Patchday November 2018

Sicherheits-Updates, Windows 10 1809 und Server 2019

Neben Updates für die noch unterstützten Versionen von Windows 10, erscheinen am am November-Patchday auch Windows 10 Version 1809 und Windows Server 2019 erneut auf der Bildfläche. Das gilt auch für Windows Server 1809. Die kumulativen Patches für Windows 10 beheben Sicherheitslücken in Windows und dem Browser Edge. Aber auch PowerShell Core und Office werden aktualisiert. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45579222 / Definitionen)