¿Cómo funcionan las vulnerabilidades y exposiciones comunes (CVE)?

1

El sistema de vulnerabilidades y exposiciones comunes (CVE) es un diccionario de vulnerabilidades de seguridad de la información conocidas públicamente y Exposiciones en paquetes de software publicados públicamente.

Estoy buscando una respuesta canónica a las siguientes preguntas:

  • ¿Cómo funcionan las CVE?

  • ¿Cómo encuentra un CVE relacionado con un producto en particular?

  • ¿Dónde puedo encontrar una revisión para un CVE?

  • ¿Todos los CVE listados tienen revisiones?

  • ¿Qué hago si no puedo encontrar un hotfix para un CVE listado?

He realizado una búsqueda en Google para identificar, recopilar y ver CVE para diferentes productos. Sin embargo, los resultados varían, y esperaba que pudiéramos utilizar mi pregunta como una base desde la cual los usuarios puedan conocer el sistema CVE, y seguir un procedimiento paso a paso para identificar y recopilar CVE de productos.

    
pregunta KimberleyK 26.06.2015 - 03:22
fuente

1 respuesta

4

Como su nombre lo sugiere, CVE se divide en dos categorías: Vulnerabilidades y Exposiciones ambas son principalmente errores en un código de software determinado o su configuración que pueden permitir respectivamente el atacante para, por ejemplo, obtener una escalada de privilegios (ejecutar un código como root en un entorno de nivel de usuario) o para obtener un acceso indirecto a un sistema / red.

Antes de intentar (al menos) direccionar sus puntos, es importante tener en cuenta que la primera etapa de creación de un CVE es descubrir y divulgar una vulnerabilidad. Y por el bien de la simplicidad:

  • ¿Cómo funcionan las CVE? : una vez que se descubre y revela una vulnerabilidad, las Autoridades de numeración de CVE ( CNA ) asigna a esta vulnerabilidad un ID de CVE y luego publica el CVE en la Lista de CVE
  • ¿Cómo encuentra un CVE relacionado con un producto en particular? : hay muchos repositorios, como el sugerido por @bonsaiviking, puede usar enlace , enlace o enlace ...
  • ¿Dónde puedo encontrar un hotfix para un CVE? : En general, las revisiones son impulsadas por los proveedores de software afectados, por eso es importante mantener sus sistemas operativos, software y navegadores web actualizados. .
  • ¿Todos los CVE listados tienen revisiones? Para hacerlo simple, la respuesta es NO , los investigadores y los cazadores de errores generalmente respetan lo que se llama Política de divulgación de vulnerabilidad , para simplificarlo, una divulgación típica comienza al comunicarse con el proveedor afectado y avisarle de la vulnerabilidad encontrada, al proporcionarle una Prueba de concepto, por ejemplo, y detalles técnicos, el proveedor debe corregir a la persona afectada. vulnerabilidad dentro de 90 días que pasa este plazo, la vulnerabilidad podría ser revelada, SI si esto ocurre, entonces se asigna un CVE al "error".
  • ¿Qué hago si no puedo encontrar un hotfix para un CVE listado? En general, nada excepto esperar una actualización del proveedor o evitar el uso del software afectado .

La respuesta no fue exhaustiva, pero espero que haya ayudado.

    
respondido por el Soufiane Tahiri 04.04.2017 - 14:54
fuente

Lea otras preguntas en las etiquetas