CVE

CVE (Common Vulnerabilities and Exposures) es un sistema que asigna identificadores únicos (CVE-YYYY-NNNN) a las vulnerabilidades de seguridad divulgadas públicamente, mantenido por MITRE.

Propósito

Dar a las vulnerabilidades identificadores unificados para que las herramientas de seguridad, los avisos y las correcciones puedan referirse a la misma vulnerabilidad con precisión.

Mecanismo

El formato del número CVE es CVE-año-secuencia (p. ej., CVE-2021-44228 Log4Shell). Los CNA (CVE Numbering Authorities) asignan los números. La NVD (National Vulnerability Database) registra los CVE y les adjunta puntuaciones CVSS y productos afectados. El número en sí no contiene detalles; consúltalos en NVD/MITRE.

Casos de uso

Seguimiento y remediación de vulnerabilidades
Referencias en avisos de seguridad
Coincidencias en el escaneo de dependencias
Informes de cumplimiento

Ejemplos

entrada

CVE-2021-44228

Output

Log4Shell RCE vulnerability

Log4j remote code execution

Errores comunes

Judging severity by the CVE number alone: Check the NVD CVSS score and affected versions

Términos relacionados

CVSS (Common Vulnerability Scoring System) es un sistema de puntuación estandarizado de la gravedad de las vulnerabilidades; genera puntuaciones de 0 a 10 y lo mantiene FIRST.

OWASP (Open Web Application Security Project) es una organización sin ánimo de lucro que publica la lista Top 10 de vulnerabilidades web y guías de buenas prácticas; es una autoridad en seguridad web.

Penetration Testing

El penetration testing simula el comportamiento de un atacante para ejecutar pruebas de ataque autorizadas contra un sistema, descubriendo vulnerabilidades explotables y evaluando el riesgo real.

References