CVE
Las vulnerabilidades y exposiciones comunes (Common Vulnerabilities and Exposures o CVE, por sus iniciales en inglés) aluden a un sistema de registro y seguridad de vulnerabilidades públicamente conocidas. Cada CVE tiene un número de identificación único.
El registro CVE se puso en marcha en 1999 y lo mantiene la corporación MITRE , junto con otras entidades colaboradoras. La misión de su programa CVE es identificar, definir y catalogar las vulnerabilidades de ciberseguridad divulgadas públicamente. Cada registro CVE incluye información descriptiva, por lo general no muy extensa, sobre la vulnerabilidad, para que se comprenda fácilmente de qué se trata.
Este registro contiene un identificador único de CVE (CVE ID), que permite localizar fácilmente la vulnerabilidad y el registro. Ese registro es proporcionado por una autoridad denominada CNA (CVE Numbering Authority) y enriquecido por una unidad publicadora ADP (Authorized Data Publisher). El CVE ID suele ser una secuencia como esta: CVE-2021-40444.
El identificador está formado por el acrónimo CVE, seguido de un gui ón, el año de descubrimiento, otro guión, y el número de vulnerabilidad de ese año. Este último número es un valor incremental, es decir, si la última vulnerabilidad encontrada ese año es la 40444, la siguiente será identificada como CVE-2021-40445. Toda esta información se proporciona al público de distintas maneras y en distintos formatos, de forma entendible tanto por humanos como por máquinas.
En un registro CVE también se suelen identificar los productos sensibles a dicha vulnerabilidad, incluyendo una descripción, la autoridad CNA, enlaces de referencia donde profundizar más acerca de la vulnerabilidad y la fecha en que la vulnerabilidad fue registrada.
La expresión “Compatible con CVE” indica que un sitio web, plataforma, herramienta, base de datos o servicio utilizan nombres CVE, lo cual permite a ese sistema establecer vínculos cruzados con otros repositorios que utilizan nombres CVE.
Al consultar un registro en la lista que aparece en la web de la corporación MITRE no se podrán observar puntuaciones o indicadores de criticidad de la vulnerabilidad. No obstante, otros organismos también gestionan una lista con los mismos registros CVE, a los que sí añaden un indicador de criticidad y una puntuación, como es el caso de la Base de Datos de Vulnerabilidades Nacional (NVD) del gobierno de Estados Unidos. En esta base de datos los registros van acompañados de una puntuación denominada CVSS, que indica la criticidad de la vulnerabilidad. En concreto, la NVD ofrece dos sistemas de puntuación CVSS distintos a la hora de asignar una puntuación de criticidad: CVSS versión 2 y CVSS versión 3, siendo la versión 3 la más actual.
En España, el INCIBE (Instituto Nacional de Ciberseguridad de España) es la entidad encargada de gestionar la lista de registros CVE en español.
Cualquier persona que identifique una vulnerabilidad en un producto de software puede iniciar el proceso de registro siguiendo los pasos indicados en la web de MITRE , en la sección Update a CVE Record (Actualizar un registro CVE).