CVE
Common Vulnerabilities and Exposures (CVE – deutsch Bekannte Schwachstellen und Anfälligkeiten) ist ein dem US-amerikanischen National Cybersecurity FFRDC unterstelltes und durch die Mitre Corporation gepflegtes Referenzier-System, dessen Ziel die Einführung einer einheitlichen Namenskonvention für Sicherheitslücken und andere Schwachstellen in Computersystemen ist.
Ziel des Bezeichnungssystems ist, Mehrfachbenennung derselben Gefahren durch verschiedene Unternehmen und Institutionen zu vermeiden, indem ein bekanntes Problem mit einer Nummer versehen wird, die aus dem Kürzel CVE, der Jahreszahl der Entdeckung des Problems, sowie einer beliebigen fortlaufenden Nummer besteht (z. B. CVE-2020-1234), um eine eindeutige Identifizierung der Schwachstelle zu gewährleisten. Dadurch ist ein reibungsloser Informationsaustausch zwischen den verschiedenen Datenbanken einzelner Hersteller möglich.
Die CVE-Nummern werden seit 1999 vergeben. Bis Ende 2013 waren die fortlaufenden Nummern eines Jahres immer vierstellig und mit führender Null angegeben, etwa CVE-1999-0012. Weil dieses Format nicht mehr ausgereicht hat, erlaubt das Format seit Anfang 2014 beliebig viele Stellen dafür, mindestens jedoch vier.
Die Liste der Common Vulnerabilities and Exposures wird von der Mitre Corporation in Zusammenarbeit mit den CVE Numbering Authorities (Sicherheitsexperten, Bildungseinrichtungen, Behörden und Herstellern von Sicherheitssoftware) etc. verwaltet.
Nachdem uns im Frühjahr 2014 Herzblut in Wallung gebracht hat, gibt es in diesen Tagen turbulente ShellShock Stunden für die SysAdmins von Linux-Serven. Nicht nur die Webhostingbranche ist gefordert und studiert aktuell viele Announcementlisten und patchen betroffene Server. Dabei ist das schnellstmögliche Reagieren überlebenswichtig, weil die Sicherheitslücke so einfach ausgenutzt werden kann. Die Internetwetterampel des SANS-Institutes war sogar wieder einige […]
SHELLSHOCK durch großzügige BASH Variablen Weiterlesen »
NSA + CVE-2014-0160 ? Was für ein Tag! Nicht nur die Webhostingbranche ist gefordert und studiert Announcementlisten, analysieren die Lage und reagieren schnellstmöglich. Inzwischen ist sogar die Internetwetterampel des SANS-Institutes mal wieder gelb gefärbt. Ursache ist ein schwerwiegender Bug in der OpenSSL OpenSource-Biliothek. Technische Details beschreibt HeiseSecurity hier. Trotzdem fand ich Zeit für eine Prüfung prominenter Onlineauftritte. Besonders freute
NSA.GOV mit dem CVE-2014-0160 erwischt Weiterlesen »
