Was ist CVE und CVSS?

1. Das National Institute of Standards and Technology (NIST) definiert in seinem Entwurfsdokument NISTIR 8138 eine Schwachstelle als jede Schwäche in der Computerlogik von Produkten oder Geräten, die von einer Bedrohungsquelle ausgenutzt werden könnte.

2. Das Open Web Application Security Project (OWASP) definiert eine Schwachstelle wie folgt: Eine Schwachstelle ist ein Loch oder eine Schwäche in der Anwendung, die ein Designfehler oder ein Implementierungsfehler sein kann, der es einem Angreifer ermöglicht, den Interessengruppen einer Anwendung Schaden zuzufügen. Zu den Stakeholdern gehören der Eigentümer der Anwendung, die Benutzer der Anwendung und andere Instanzen, die sich auf die Anwendung verlassen.

3. Die Common Vulnerabilities and Exposures List (CVE®) definiert eine Schwachstelle allgemein als einen Schwachpunkt in der Berechnungslogik (z. B. Code) von Software- und Hardwarekomponenten, der, wenn er ausgenutzt wird, zu einer negativen Auswirkung auf Vertraulichkeit, Integrität oder Verfügbarkeit führt.

Wir konzentrieren uns bei unserer Diskussion auf die Definition der CVE-Organisation.

CVE ist eine Cybersicherheitsdatenbank, die alle Arten von Cybersicherheitsschwachstellen und -engpässen sammelt und speichert, jeder Schwachstelle eine Seriennummer gibt und sie für Forschung und Analyse öffentlich zugänglich macht. CVE wird vom U.S. National Cybersecurity Federally Funded Research and Development Center (FFRDC) der MITRE Corporation verwaltet und ist derzeit die weltweit führende Datenbank für Schwachstellen, die von der Cybersicherheitsbranche und der Unternehmenswelt anerkannt ist.

Jedes Mal, wenn ein Produkt, Hardware oder Software, auf Sicherheitslücken getestet werden muss, wird es über die CVE-Website geprüft. Wenn White-Hat-Hacker oder Forscher Schwachstellen entdecken, reichen sie diese bei CVE ein, die sie dann der Welt bekannt gibt, mit dem Ziel, die Benutzer auf die Situation aufmerksam zu machen und die Hersteller zu drängen, ihre unternehmerische Verantwortung in die Praxis umzusetzen, indem sie einen Patch für die Schwachstelle entwickeln.

Ein Beispiel für diesen Prozess ist die Offenlegung einer Schwachstelle in den Webbrowsern Microsoft Internet Explorer und Edge durch Google. Bei diesem Vorfall deckte Googles Team von Sicherheitsanalysten, Codename Project Zero, eine Schwachstelle sowohl in der 32-Bit- als auch in der 64-Bit-Version des IE sowie in Edge auf, die zu Abstürzen des Browsers sowie zu Fernangriffen und/oder der Übernahme der Hardware des Systems führen konnte. Ursprünglich hatte Project Zero die Schwachstelle direkt an Microsoft gemeldet und dem Unternehmen 90 Tage Zeit gegeben, einen Patch zu entwickeln, um das Problem zu beheben. Nachdem Microsoft jedoch nicht in der Lage war, in der vorgegebenen Zeit einen Patch zu entwickeln, machte Google den Fehler öffentlich. Die Schwachstelle selbst war ein sogenannter "Type Confusion Flaw", der im HandleColumnBreakOnColumnSpanningElement-Parameter auftritt, und erhielt schließlich die CVE-Seriennummer CVE-2017-0037.

Die aktuelle Version von CVSS (CVSSv3.1) wurde im Juni 2019 veröffentlicht.