コンテンツへスキップ
uencoder

CVE

CVE（Common Vulnerabilities and Exposures）は、公開されたセキュリティ脆弱性に一意の識別子（CVE-YYYY-NNNN）を付与する仕組みで、MITRE が管理する。

目的

脆弱性に統一識別子を与え、セキュリティツール、アドバイザリ、修正が同一の脆弱性を正確に参照できるようにする。

メカニズム

CVE 番号の形式は CVE-年-連番（例：CVE-2021-44228 Log4Shell）。CNA（CVE Numbering Authority）が番号を割り当てる。NVD（National Vulnerability Database）は CVE を記録し、CVSS スコアや影響を受ける製品を紐付ける。番号自体には詳細情報はなく、NVD や MITRE で確認する。

ユースケース

  • 脆弱性トラッキングと修復
  • セキュリティアドバイザリでの参照
  • 依存関係スキャンのマッチング
  • コンプライアンス報告

例

  • 入力 
    CVE-2021-44228
    Output 
    Log4Shell RCE vulnerability

    Log4j remote code execution

よくあるエラー

Judging severity by the CVE number alone
Check the NVD CVSS score and affected versions

関連用語

CVSS
CVSS（Common Vulnerability Scoring System）は脆弱性の深刻度を評価する標準化されたスコアリングシステムで、0〜10 のスコアを出力し、FIRST が管理する。
用語集
OWASP
OWASP（Open Web Application Security Project）は、Web脆弱性トップ10リストやセキュリティ実践ガイドを公開する非営利団体である。Webセキュリティの権威として知られる。
用語集
Penetration Testing
ペネトレーションテスト（侵入テスト）は、攻撃者の振る舞いをシミュレートしてシステムに対する認可付き攻撃テストを実施し、悪用可能な脆弱性を発見して実際のリスクを評価する。
用語集

References