Common Vulnerabilities and Exposures («Vulnerabilidades e exposicións comúns» ou CVE) é un dicionario de información dispoñible publicamente sobre vulnerabilidades de seguridade informática.

Visión xeral O dicionario, fundado en setembro de 1999, está mantido pola organización MITRE. Conta co apoio do Departamento de Seguridade Nacional dos Estados Unidos.

Aínda que o financiamento do contrato debía rematar o 16 de abril de 2025, unha mobilización do sector informático permitiu prorrogalo once meses máis.

Unha vez que expire o contrato co goberno dos Estados Unidos, espérase que o sitio sexa pechado e que non se revelen novas vulnerabilidades de seguridade, pero os arquivos seguirán estando dispoñibles en GitHub. En abril de 2025 creouse unha fundación para tentar compensar a cesación dos contratos gobernamentais.

Segundo a directiva NIS2, Europa conta agora coa súa propia base de datos chamada EUVD.

Identificadores CVE Os identificadores CVE son referencias no formato CVE-AAAA-NNNN (AAAA é o ano de publicación e NNNN é un número identificador). Por exemplo, a vulnerabilidade FREAK ten o identificador CVE-2015-0204.

Desde 2014, o número identificador dun CVE consta dun mínimo de 4 díxitos e pode aumentarse sen límite se o número de vulnerabilidades nun ano o require (NNNN...N).

Pódese descargar o contido do dicionario CVE. Esta lista contén unha breve descrición da vulnerabilidade en cuestión, así como un conxunto de ligazóns que os usuarios poden consultar para obter máis información.

Compatibilidade con CVE Moitos produtos de seguridade abordan vulnerabilidades e, polo tanto, empregan identificadores CVE:

servizos de información sobre vulnerabilidades, sistemas de detección de intrusións, sistemas de prevención de intrusións, escáneres de vulnerabilidades, ferramentas de xestión de activos de TI, etc.

Para garantir que estes produtos empreguen os identificadores CVE correctamente, MITRE implementou un procedemento de compatibilidade CVE que require en particular:

unha visualización dos identificadores CVE («CVE Output») unha función de busca entre os identificadores CVE («CVE Searchable») un procedemento de actualización da base de datos («Mapping») axuda cos conceptos CVE («Documentation»)

Notas

Véxase tamén

Outros artigos Seguridade informática Vulnerabilidade (informática)

Ligazóns externas

Categoría:Seguridade informática