Definition Common Vulnerabilities and Exposures (CVE)

Was ist CVE?

| Autor / Redakteur: Stefan Luber / Peter Schmitz

Die Common Vulnerabilities and Exposures (CVE) sind eine standardisierte Liste von IT-Schwachstellen und Sicherheitslücken.
Die Common Vulnerabilities and Exposures (CVE) sind eine standardisierte Liste von IT-Schwachstellen und Sicherheitslücken. (Bild: Mitre)

Bei den Common Vulnerabilities and Exposures (CVE) handelt es sich um eine standardisierte Liste über Schwachstellen und Sicherheitsrisiken von Computersystemen. Dank der eindeutigen Benennung wird der Datenaustausch über Schwachstellen und Sicherheitsrisiken vereinfacht. Laufende Nummern identifizieren die verschiedenen Einträge eindeutig.

Die Abkürzung CVE steht für Common Vulnerabilities and Exposures. Es handelt sich um einen Standard, der Schwachstellen und Sicherheitsrisiken von Computersystemen eindeutig benennt und in einem allgemein zugänglichen Verzeichnis auflistet. Ziel ist es, den Datenaustausch über Schwachstellen beispielsweise zwischen verschiedenen Herstellern zu vereinfachen und eine eindeutige Identifikation zu ermöglichen. IPS- oder IDS-Systeme können das CVE-Verzeichnis in ihrem Vulnerability-Management verwenden.

Grundsätzlich unterscheidet das Verzeichnis zwischen Sicherheitslücken, Schwachstellen und Exposures. Während Sicherheitslücken durch einen Fehler im Code verursacht werden und direkten Zugriff auf ein System ermöglichen, gestattet ein Exposure indirekten Zugang und beispielsweise das Kopieren von Kundendaten oder das unbefugte Erlangen weiterer Rechte. Die CVEs pflegt das sogenannte CVE Editorial Board. Mitglieder sind Vertreter von Sicherheitsorganisationen, akademische Institutionen, Hersteller und Sicherheitsexperten. Moderator im Editorial Board ist die gemeinnützige MITRE Corporation, die von der US-amerikanischen Regierung unterstützt wird. Die MITRE verwaltet auch die Website. Seit 1999 werden CVE-Nummern vergeben.

CVE & Co. für Einsteiger

Common Vulnerabilities and Exposures (CVE)

CVE & Co. für Einsteiger

31.08.18 - Sicherheitslücken stellen seit Jahren eine gewaltige Bedrohung für die Sicherheit von IT-Systemen dar. Damit Sicherheitsexperten, Entwickler und Anwender weltweit gemeinsam an der Beseitigung von Sicherheitslücken arbeiten können bedarf es eines einheitlichen Schemas zur Identifikation der Schwachstellen. Das Common Vulnerabilities and Exposures (CVE) bildet dazu seit 1999 einen unverzicht­baren Industriestandard. lesen

Ziele der Common Vulnerabilities and Exposures

Hauptziel der Common Vulnerabilities and Exposures ist es, bekannte Schwachstellen oder Expositionen eindeutig zu benennen, um Administratoren oder Herstellern einen schnellen Zugriff auf Informationen über Bedrohungen zu ermöglichen. Dank der eindeutigen Nummern kann auf weitere CVE-kompatible Informationsquellen schnell zugegriffen werden. Common Vulnerabilities and Exposures erleichtern die Suche in anderen Datenbanken und gestatten einen Austausch von Daten zwischen Herstellern mit ihren verschiedenen Sicherheitstools.

Die Syntax der CVEs

CVE-Namen, auch CVE-IDs oder nur CVEs genannt, sind nach einer genau definierten Syntax aufgebaut. Jeder Name enthält die folgenden Angaben:

  • eine eindeutige Identifikationsnummer beispielsweise CVE-1999-0050
  • den Status "Entry" oder "Candidate"
  • eine kurze Beschreibung der Sicherheitslücke oder des Exposures
  • passende Referenzen

Die Fortlaufenden Identifikationsnummern waren zu Beginn vierstellig mit führenden Nullen. Mittlerweile erlaubt das Format beliebig viele Stellen (mindestens jedoch vier).

Die verschiedenen Stati der CVE

CVEs unterscheiden die zwei Stati "Entry" und "Candidate" (Eintrag oder Kandidat). Der Entry-Status sagt aus, dass die ID von der Common Vulnerabilities and Exposures Liste akzeptiert ist. Ein Eintrag mit dem Status Candidate steht unter Beobachtung und ist noch nicht offiziell in die Liste aufgenommen. Es wird noch geprüft, ob eine Aufnahme in die Liste erfolgt.

Die CVE-Auflistung bekannter Sicherheitslücken

Common Vulnerabilities and Exposures

Die CVE-Auflistung bekannter Sicherheitslücken

10.10.18 - Im Rahmen von IT-Security-Warnungen werden oft CVE-Einträge genannt, die bestimmte Lücken und Risiken in Software-Produkten adressieren. Aber was genau steckt hinter den Common Vulnerabilities and Exposures? lesen

Bedeutung der CVE-Kompatibilität

Datenbanken, Security-Tools oder Webseiten können CVE-kompatibel sein. Die Kompatibilität sagt aus, dass CVE-IDs korrekt und gemäß der Syntax verwendet werden, um sie mit anderen Informationen zu verknüpfen. So ist sichergestellt, dass sich die kompatiblen Services und Anwendungen untereinander austauschen können. Die vier Mindestanforderungen für die Kompatibilität sind:

  • Schwachstellen und zugehörige Informationen sind unter der CVE-ID auffindbar,
  • die angebotenen Informationen verwenden CVE-Namen,
  • die Dokumentation enthält Beschreibungen zur Kompatibilität und Informationen, wie die bereitgestellten Informationen für andere Dienste oder Produkte nutzbar sind,
  • der Eigentümer eines Repositories hat eine exakte Zuordnung zu spezifischen CVE-Versionen sichergestellt.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Anfällige Copy-Funktion von Docker

Unit 42 warnt vor Root-Betrieb von Containern

Anfällige Copy-Funktion von Docker

Um Container-Nutzern zu zeigen, wie sie einer im Juli durch Docker offengelegte Schwachstelle begegnen können, hat Palo Alto Networks die Erkenntnisse eines Proof of Concepts veröffentlicht. Die Ergebnisse stammen von Unit 42, dem Threat Intelligence Team des Sicherheitsanbieters. lesen

Smartphonelücke und rechtgierige Apps

Google warnt vor Xiaomi und liefert selbst Grund zur Sorge

Smartphonelücke und rechtgierige Apps

Das entbehrte nicht gewisser Ironie: Kurz nachdem Google Android-Nutzer offenbar vor einer besonders datenhungrigen App des chinesischen Smartphone-Herstellers Xiaomi warnte, ist der Internetriese selbst ins öffentliche Fadenkreuz geraten. lesen

TPM-Fail bei STMicroelectronics und Intel

Common Criteria müssen selbst auf den Prüfstand

TPM-Fail bei STMicroelectronics und Intel

Nachdem Microsoft bereits zum Patchday im November vor Lücken in Trusted Platform Modules (TPM) gewarnt hatte, gibt es nun weitere Details zu TPM-Fail. Und die lassen an der Aussagekraft von Zertifizierungen wie Common Criteria zweifeln. lesen

Bedrohung durch Thingbots nimmt zu

F5 Networks warnt IoT-Nutzer

Bedrohung durch Thingbots nimmt zu

Das auf IT-Sicherheit spezialisierte Unternehmen F5 Networks hat die sechste Ausgabe seiner Studie „The Hunt für IoT“ veröffentlicht. Sie verzeichnet eine deutliche Zunahme an Thingbots, die Angreifer zum Kapern von IoT-Geräten nutzen. lesen

Kritische Patches und Handlungsbedarf

Microsoft Patchday November 2019

Kritische Patches und Handlungsbedarf

Zum November-Patchday geht Microsoft insgesamt 75 CVEs an – und das nicht nur in eigenen Produkten. Zusätzlich warnt der Hersteller vor Sicherheitsanfälligkeiten in bestimmten TPM-Chipsätzen. lesen

59 Sicherheitslücken werden von Microsoft geschlossen

Microsoft Patchday Oktober 2019

59 Sicherheitslücken werden von Microsoft geschlossen

Am Patchday Oktober 2019 stellt Microsoft verschiedene Updates für Windows-Betriebssysteme zur Verfügung, die insgesamt 59 CVEs betreffen. Neben Updates für Windows werden auch Lücken in Microsoft SQL Server und Office geschlossen. lesen

Patchday bringt mehr Leistung für Windows 10

Microsoft Patchday September 2019

Patchday bringt mehr Leistung für Windows 10

Zum Patchday im September 2019 stellt Microsoft eine Reihe kumulativer Updates bereit. Diese beseitigen nicht nur Sicherheitslücken, sondern beheben auch einen Bug im System, durch den Cortana beim Einsatz unter Windows 10 Version 1903 eine extrem hohe CPU-Last erzeugen konnte. lesen

Cohesity Cyberscan erkennt Schwachstellen über Backups

Risiko von Cyberangriffen minimieren

Cohesity Cyberscan erkennt Schwachstellen über Backups

Mit der neuen Cohesity-Cyberscan-Lösung sollen künftig Schwachstellen und Risiken in IT-Umgebungen anhand von Backup-Daten bewertet werden. Die Anwendung soll Lücken frühzeitig aufdecken und ergänzt die Anti-Ransomware-Lösung des Herstellers. lesen

RDP ist riesiges Sicherheits­risiko für Unternehmen

RDP-Studie von Sophos

RDP ist riesiges Sicherheits­risiko für Unternehmen

Das bei vielen Admins beliebte Remote Desktop Protocol (RDP) stellt für Unternehmen ein großes Sicherheitsrisiko dar. Security-Anbieter Sophos hat seine knapp viermonatige Studie „RDP Exposed: The Threat That’s Already at your Door“ abgeschlossen und die Langzeit­ergebnisse veröffentlicht. Sie zeigt, wie Cyberkriminelle unerbittlich versuchen, Unternehmen via RDP anzugreifen. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 45579222 / Definitionen)