CVE

Čo to znamená

CVE je verejný zoznam známych zraniteľností softvéru, v ktorom má každá jedinečný identifikátor a stručný popis, napríklad CVE-2024-12345. Vďaka spoločnému označeniu hovoria výrobcovia, bezpečnostné tímy aj nástroje o tej istej chybe rovnakým jazykom.

Závažnosť zraniteľnosti sa obvykle vyjadruje skóre CVSS od 0 do 10, ktoré zohľadňuje, ako ľahko sa dá chyba zneužiť a aké škody môže spôsobiť. Doplnkovo sa sleduje, či je chyba už aktívne zneužívaná, čo býva dôležitejšie ako samotné skóre.

Zraniteľnosť, ktorú útočníci zneužívajú skôr, než výrobca vydá opravu, sa nazýva zero-day. Po zverejnení CVE a záplaty začína súboj s časom, pretože útočníci často do niekoľkých dní vytvoria nástroje na hromadné zneužitie nezaplátaných systémov.

Ako to funguje v praxi

Firmy používajú CVE v rámci patch managementu: nástroje na skenovanie porovnajú inštalovaný softvér so zoznamom zraniteľností a navrhnú, čo aktualizovať. Prioritu majú systémy dostupné z internetu, napríklad VPN brány, poštové servery a webové aplikácie.

Pri penetračnom teste tester v správe uvádza nájdené zraniteľnosti s ich CVE a odporúčaním. Pre vedenie firmy je užitočné preložiť technický zoznam do rizík: ktorý systém je ohrozený, čo by útok znamenal pre prevádzku a do kedy sa to opraví.

Varovania o kritických CVE zverejňujú výrobcovia aj národné CSIRT tímy. Oplatí sa ich odoberať, najmä pre produkty, ktoré firma používa, a mať dohodnuté, kto v IT za ich vyhodnotenie zodpovedá aj počas dovolenky správcu.

Na čo si dať pozor

Vysoké skóre CVSS automaticky neznamená, že je firma ohrozená, a nízke skóre neznamená bezpečie. Rozhoduje kontext: či je zraniteľný komponent dostupný zvonka, či sa v danom nastavení vôbec používa a či existuje zverejnený exploit.

Výrobcovia produktov s digitálnymi prvkami majú podľa Cyber Resilience Act povinnosť zraniteľnosti riešiť a aktívne zneužívané chyby hlásiť. Pri výbere softvéru a zariadení sa preto oplatí preveriť, ako dlho výrobca sľubuje bezpečnostné aktualizácie.