CVE: cos'è

In breve

Un CVE è un codice come CVE-2021-44228: il prefisso, l'anno in cui l'identificativo è stato assegnato e un numero progressivo di almeno quattro cifre. Il codice non dice quanto è grave la vulnerabilità: dice soltanto quale vulnerabilità è, senza ambiguità. La gravità si esprime a parte, di solito con il punteggio CVSS.

Come funziona

Il programma CVE è nato nel 1999 ed è coordinato da MITRE con il sostegno dell'agenzia statunitense per la cybersicurezza (CISA). Gli identificativi non li assegna un unico ufficio: li rilascia una rete di CNA (CVE Numbering Authority), cioè produttori di software, centri di ricerca e CERT nazionali autorizzati a numerare le vulnerabilità del proprio ambito.

Ogni record CVE contiene una descrizione sintetica, i prodotti e le versioni coinvolti e i riferimenti agli avvisi del produttore. Altri cataloghi aggiungono informazioni sopra lo stesso codice: il National Vulnerability Database del NIST, per esempio, riporta il punteggio CVSS e il tipo di debolezza (CWE). In Europa ENISA gestisce la European Vulnerability Database, che raccoglie le vulnerabilità con i rimandi ai codici CVE.

Attenzione a non confondere CVE e CWE: il primo è la singola vulnerabilità in un prodotto preciso, il secondo è la categoria di errore (per esempio "SQL injection") da cui quella vulnerabilità nasce.

Perché è importante

Il CVE è il filo che lega un rilievo al suo rimedio. Quando il fornitore pubblica un aggiornamento che "corregge CVE-2023-34362", puoi verificare in pochi secondi se è proprio il problema emerso dal tuo vulnerability assessment, e organizzare il patch management di conseguenza.

C'è però un limite da conoscere: non tutto ha un CVE. Una password di default lasciata su un apparato, una cartella di rete aperta a tutti, un servizio esposto per errore su Internet sono problemi seri che non hanno un identificativo. Un report che conta solo i CVE vede una parte del quadro.

Esempio

Nel dicembre 2021 è stata resa pubblica CVE-2021-44228, nota come Log4Shell: un difetto nella libreria Java Apache Log4j 2 che permetteva di eseguire codice da remoto, con punteggio CVSS 10.0. Molte aziende non sapevano di usare Log4j, perché era incorporata dentro altri prodotti. Chi aveva un inventario del software con le vulnerabilità per macchina ha potuto rispondere in poche ore alla domanda "siamo esposti?". Gli altri hanno dovuto cercare server per server.

Se vuoi capire come si inserisce il CVE nel lavoro di verifica, la guida vulnerability assessment e penetration test a confronto spiega le differenze fra i due approcci.

Termini collegati

• CVSS: il punteggio di gravità associato a un CVE
• Zero-day: la vulnerabilità sfruttata prima che esista una correzione
• Vulnerability assessment
• Patch management