Common Vulnerabilities and Exposures (CVE)

Die Common Vulnerabilities and Exposures (CVE) sind ein Standard zur einheitlichen Namenskonvention und Identifikation von öffentlich bekannten Sicherheitslücken in Informationssystemen. [1] Durch diese Standardisierung können Sicherheitslücken in wenigen Worten präzise kommuniziert werden. Wichtig dabei ist, dass es sich bei CVEs immer um öffentlich bekannte Sicherheitslücken handelt.

In News-Artikeln werden Sicherheitslücken mittels der CVE-ID und einer kurzen Zusammenfassung sehr genau beschrieben.[2]

Durch die eindeutige Identifizierung einer Sicherheitslücke über die zugehörige CVE-ID, kann die Schwachstelle international ohne großen Aufwand und über alle Sprachbarrieren hinweg kommuniziert werden.

Aufbau einer CVE

Eine CVE-ID setzt sich aus drei Bestandteilen zusammen. Das Präfix ist bei jeder ID identisch, daher fängt jede CVE-ID mit ‘CVE’ an. Darauf folgt die vierstellige Jahreszahl. Diese zeigt dabei nicht das Jahr der Entdeckung, sondern das Jahr der öffentlichen Bekanntmachung der Sicherheitslücke. Folglich wird eine Sicherheitslücke, welche im Dezember 2018 gefunden wurde, aber erst im Januar 2019 veröffentlicht wird, eine Kennzeichnung mit der Jahreszahl 2019 erhalten. Die fortlaufende Nummerierung einer CVE-ID besteht aus vier, fünf oder sieben Ziffern.[3]

Die wesentlichen Informationen, welche in einem CVE-Eintrag enthalten sind, ist neben der CVE-ID ebenfalls die Common Weakness Enumeration (CWE)-ID sowie Referenzen und eine Beschreibung der Sicherheitslücke. Zusätzlich werden die direkt und indirekt betroffenen Common Platform Enumerations (CPEs), das Common Vulnerability Scoring System (CVSS) falls verfügbar, sowie das Datum und die Uhrzeit der Veröffentlichung und der letzten Bearbeitung gelistet.

Die CWE ist eine einheitliche Benennung zur Ermittlung und Definition von Ursachen der identifizierten Sicherheitslücke. Dabei existiert für jeden Schwachstellentyp eine spezifische CWE. Diese werden seitens der MITRE Corporation mit Unterstützung der National Cyber Security Division (NCSD) erstellt. Die NCSD ist wiederum eine Abteilung des Ministeriums für Innere Sicherheit der Vereinigten Staaten von Amerika (Department of Homeland Security (DHS)).[4]

Die CPE ist eine standardisierte Methode zur eindeutigen Benennung von Anwendungen, Betriebssystemen sowie Hardware-Geräten, welche in einem Computersystem verbaut sind. IT-Management-Programme können Informationen über die in einem System installierten Softwareprodukte sammeln, Produkte über ihren CPE-Namen identifizieren und diese standardisierten Informationen nutzen, um eine vollständige oder teilweise automatisierte Weiterverarbeitung zu ermöglichen.[5]

Das CVSS ist ein Standard zur Bewertung von Merkmalen und Auswirkungen von IT-Schwachstellen der systematisch auf die spezifischen Eigenschaften einer Sicherheitslücke festgelegt wird. Dies ermöglicht die Feststellung der Dringlichkeit der unterschiedlichen Schwachstellen.[6]

CVE-IDs dürfen nur von lizenzierten Unternehmen, welche unter der Autorität des CVE-Programms arbeiten, erstellt werden. Die Lizenzen werden von der MITRE Corporation vergeben. Diese Unternehmen werden CVE Numbering Authorities (CNAs) genannt und sind befugt CVE-IDs innerhalb eines vereinbarten Umfangs zu Schwachstellen zuzuweisen. Bei dem Erstellungsprozess generieren die CNAs einen CVE-Eintrag mit den zu diesem Zeitpunkt bekannten Informationen und leiten diesen an die MITRE weiter. Die MITRE veröffentlicht diesen Eintrag in den CVE-Feeds.[7]