CVE
CVE (Common Vulnerabilities and Exposures) ist ein System, das öffentlich bekannt gemachten Sicherheitslücken eindeutige Bezeichner (CVE-YYYY-NNNN) zuweist und von MITRE gepflegt wird.
Zweck
Schwachstellen einheitliche Bezeichner geben, damit Sicherheitstools, Advisories und Fixes dieselbe Schwachstelle präzise referenzieren können.
Mechanismus
Das CVE-Nummernformat ist CVE-Jahr-Folgenummer (z. B. CVE-2021-44228 Log4Shell). CNAs (CVE Numbering Authorities) vergeben die Nummern. Die NVD (National Vulnerability Database) erfasst CVEs und hängt CVSS-Scores und betroffene Produkte an. Die Nummer selbst enthält keine Details; suchen Sie sie in NVD/MITRE nach.
Anwendungsfälle
- Verfolgung und Behebung von Schwachstellen
- Referenzen in Sicherheitsadvisories
- Treffer beim Dependency-Scanning
- Compliance-Berichte
Beispiele
- Eingabe
CVE-2021-44228OutputLog4Shell RCE vulnerabilityLog4j remote code execution
Häufige Fehler
- Judging severity by the CVE number alone
- Check the NVD CVSS score and affected versions
Verwandte Begriffe
CVSS
CVSS (Common Vulnerability Scoring System) ist ein standardisiertes Bewertungssystem für den Schweregrad von Schwachstellen; es liefert Scores von 0 bis 10 und wird von FIRST gepflegt. GLOSSAR
OWASP
OWASP (Open Web Application Security Project) ist eine gemeinnützige Organisation, die die Top-10-Liste der Web-Schwachstellen und Praxisleitfäden veröffentlicht; sie gilt als Autorität für Websicherheit. GLOSSAR
Penetration Testing
Der Penetrationstest simuliert das Verhalten eines Angreifers, um autorisierte Angriffstests gegen ein System durchzuführen, ausnutzbare Schwachstellen zu entdecken und das reale Risiko zu bewerten. GLOSSAR