Vulnerabilidades e exposi\u00e7\u00f5es comuns (CVE) \u00e9 um sistema padr\u00e3o para a identifica\u00e7\u00e3o e publica\u00e7\u00e3o de vulnerabilidades de seguran\u00e7a cibern\u00e9tica. O seu objetivo principal \u00e9 facilitar a partilha e distribui\u00e7\u00e3o de dados sobre vulnerabilidades para permitir melhores estrat\u00e9gias de defesa e promover a colabora\u00e7\u00e3o dentro da comunidade de seguran\u00e7a cibern\u00e9tica.<\/p>\n
O conceito de CVE originou-se no final da d\u00e9cada de 1990 na comunidade de seguran\u00e7a de computadores, principalmente como uma iniciativa da MITRE Corporation. O sistema foi lan\u00e7ado em Setembro de 1999 com a primeira Lista CVE, uma base de dados de identificadores padronizados para vulnerabilidades conhecidas de seguran\u00e7a cibern\u00e9tica.<\/p>\n
O objectivo original do CVE era fornecer uma linguagem comum para discutir e partilhar informa\u00e7\u00f5es sobre vulnerabilidades. Antes da introdu\u00e7\u00e3o do CVE, diferentes fornecedores e pesquisadores usavam nomes e descri\u00e7\u00f5es diferentes para as mesmas vulnerabilidades, gerando confus\u00e3o e falhas de comunica\u00e7\u00e3o.<\/p>\n
Cada entrada CVE inclui um n\u00famero de identifica\u00e7\u00e3o, uma descri\u00e7\u00e3o e pelo menos uma refer\u00eancia p\u00fablica. O n\u00famero de identifica\u00e7\u00e3o segue um formato espec\u00edfico: CVE-YYYY-NNNNN, onde \u201cYYYY\u201d \u00e9 o ano em que o ID CVE foi atribu\u00eddo ou a vulnerabilidade foi tornada p\u00fablica, e \u201cNNNNN\u201d \u00e9 um n\u00famero exclusivo para essa vulnerabilidade.<\/p>\n
O sistema CVE n\u00e3o fornece nenhuma informa\u00e7\u00e3o sobre a gravidade ou risco associado a uma vulnerabilidade espec\u00edfica. No entanto, fornece uma base em torno da qual outras organiza\u00e7\u00f5es, como o National Vulnerability Database (NVD), podem anexar metadados adicionais, tais como pontua\u00e7\u00f5es de risco ou \u00edndices de explora\u00e7\u00e3o.<\/p>\n
O sistema CVE funciona atribuindo um identificador exclusivo a cada vulnerabilidade conhecida. Esse identificador ajuda os profissionais de seguran\u00e7a a se referirem a uma vulnerabilidade espec\u00edfica usando uma linguagem comum, o que auxilia nos esfor\u00e7os de mitiga\u00e7\u00e3o.<\/p>\n
Os IDs CVE s\u00e3o solicitados e atribu\u00eddos pelas Autoridades de Numera\u00e7\u00e3o CVE (CNAs). CNAs s\u00e3o organiza\u00e7\u00f5es de todo o mundo que fizeram parceria com o Programa CVE para atribuir IDs CVE a vulnerabilidades que afetam produtos dentro de seu escopo distinto e acordado.<\/p>\n
A Lista CVE, mantida pelo MITRE, \u00e9 ent\u00e3o atualizada com essas novas entradas. Bancos de dados de vulnerabilidades, como o NVD, extraem dados da lista CVE para criar listas de vulnerabilidades mais detalhadas.<\/p>\n
N\u00e3o existe uma classifica\u00e7\u00e3o formal dos tipos de CVE em si, mas as vulnerabilidades podem ser classificadas com base em diferentes crit\u00e9rios, como a \u00e1rea que impactam (por exemplo, mem\u00f3ria, sistema operacional, aplicativo), como podem ser exploradas (por exemplo, remoto, local ) e o impacto que causam (por exemplo, vazamento de dados, falha do sistema).<\/p>\n
Por exemplo, observando como as vulnerabilidades podem ser exploradas, podemos ter:<\/p>\n