Common Vulnerabilities and Exposures (CVE) ist ein Standardsystem zur Identifizierung und Ver\u00f6ffentlichung von Cybersicherheitsl\u00fccken. Sein Hauptzweck besteht darin, den Austausch und die Verteilung von Daten \u00fcber Schwachstellen zu erleichtern, um bessere Verteidigungsstrategien zu erm\u00f6glichen und die Zusammenarbeit innerhalb der Cybersicherheitsgemeinschaft zu f\u00f6rdern.<\/p>\n
Das CVE-Konzept entstand Ende der 1990er Jahre in der Computersicherheits-Community, haupts\u00e4chlich auf Initiative der MITRE Corporation. Das System wurde im September 1999 mit der ersten CVE-Liste eingef\u00fchrt, einer Datenbank mit standardisierten Kennungen f\u00fcr bekannte Cybersicherheitsschwachstellen.<\/p>\n
Der urspr\u00fcngliche Zweck des CVE bestand darin, eine gemeinsame Sprache f\u00fcr die Diskussion und den Austausch von Informationen \u00fcber Schwachstellen bereitzustellen. Vor der Einf\u00fchrung von CVE verwendeten verschiedene Anbieter und Forscher unterschiedliche Namen und Beschreibungen f\u00fcr dieselben Schwachstellen, was zu Verwirrung und Missverst\u00e4ndnissen f\u00fchrte.<\/p>\n
Jeder CVE-Eintrag enth\u00e4lt eine Identifikationsnummer, eine Beschreibung und mindestens eine \u00f6ffentliche Referenz. Die Identifikationsnummer folgt einem bestimmten Format: CVE-YYYY-NNNNN, wobei \u201eYYYY\u201c das Jahr ist, in dem die CVE-ID zugewiesen oder die Schwachstelle ver\u00f6ffentlicht wurde, und \u201eNNNNN\u201c eine eindeutige Nummer f\u00fcr diese Schwachstelle ist.<\/p>\n
Das CVE-System liefert keine Informationen \u00fcber den Schweregrad oder das Risiko einer bestimmten Schwachstelle. Es bietet jedoch eine Grundlage, an der andere Organisationen, wie die National Vulnerability Database (NVD), zus\u00e4tzliche Metadaten wie Risikobewertungen oder Ausnutzbarkeitsindizes anh\u00e4ngen k\u00f6nnen.<\/p>\n
Das CVE-System weist jeder bekannten Schwachstelle eine eindeutige Kennung zu. Dieser Bezeichner hilft Sicherheitsexperten dabei, in einer gemeinsamen Sprache auf eine bestimmte Schwachstelle zu verweisen, was die Bem\u00fchungen zur Schadensbegrenzung unterst\u00fctzt.<\/p>\n
CVE-IDs werden von CVE Numbering Authorities (CNAs) angefordert und von diesen zugewiesen. CNAs sind Organisationen auf der ganzen Welt, die mit dem CVE-Programm zusammengearbeitet haben, um Schwachstellen, die Produkte betreffen, innerhalb ihres eindeutigen, vereinbarten Umfangs CVE-IDs zuzuweisen.<\/p>\n
Die von MITRE verwaltete CVE-Liste wird dann mit diesen neuen Eintr\u00e4gen aktualisiert. Schwachstellendatenbanken wie die NVD ziehen Daten aus der CVE-Liste, um detailliertere Schwachstellenlisten zu erstellen.<\/p>\n
Es gibt keine formale Klassifizierung der CVE-Typen an sich, aber Schwachstellen k\u00f6nnen anhand verschiedener Kriterien klassifiziert werden, z. B. dem Bereich, den sie betreffen (z. B. Speicher, Betriebssystem, Anwendung), und der Art und Weise, wie sie ausgenutzt werden k\u00f6nnen (z. B. remote, lokal). ) und die Auswirkungen, die sie haben (z. B. Datenverlust, Systemabsturz).<\/p>\n
Wenn wir beispielsweise untersuchen, wie Schwachstellen ausgenutzt werden k\u00f6nnen, k\u00f6nnen wir Folgendes feststellen:<\/p>\n