Das steckt hinter der Abkürzung CVE
In Berichten zu Sicherheitslücken in Software wird oftmals zu jeder einzelnen Lücke eine CVE-ID genannt, wie etwa CVE-2020-1020. Bei dieser konkreten Lücke handelt es sich beispielsweise um eine Schwachstelle in der Type-manager-bibliothek atmfd.dll von Adobe, die sich auf Windowscomputern befindet. Seit März dieses Jahres greifen Kriminelle Windows-7-computer erfolgreich über diese Lücke an.
Die Abkürzung CVE steht für „Common Vulnerabilities and Exposures“, was sich mit „Bekannte Sicherheitslücken und Bedrohungen“übersetzen lässt. CVE ist somit ein Standard, der It-lücken beschreibt und katalogisiert. Laufende Nummern identifizieren die verschiedenen Einträge eindeutig. Das System wird von der amerikanischen Non-profit-organisation Mitre (www.mitre.org) betreut, die von der amerikanischen Regierung unterstützt wird. Des Weiteren beteiligen sich Vertreter von Sicherheitsorganisationen, akademische Institutionen sowie Sicherheitshersteller und -experten an dem System.
Dank einer eindeutigen Benennung können die Sicherheitsforscher und Softwarehersteller weltweit deutlich einfacher Informationen über die jeweilige Schwachstelle oder das betreffende Sicherheitsrisiko austauschen. Das ist ebenfalls das Hauptziel des Cve-standards. So sieht die Syntax von CVE aus: Cve-namen sind nach einer definierten Syntax aufgebaut. Mitunter werden sie auch CVE-IDS oder nur CVES genannt. Jeder CVE-NAME enthält die nachfolgenden Angaben:
1. CVE. Was für Common Vulnerabilities and Exposures steht. 2. Jahreszahl im Format JJJJ, also aktuell 2020.
3. Eine fortlaufende Identifikationsnummer mit führenden Nullen, etwa 0001 oder wie in unserem Beispiel oben „1020“. Die Id-nummern waren zu Beginn vierstellig mit führenden Nullen. Mittlerweile erlaubt das Format beliebig viele Stellen (mindestens jedoch vier).
Das Beispiel CVE-2020-1020 bezeichnet damit die Lücke 1020 im Jahr 2020. Zu jeder CVE-ID gibt es eine kurze Beschreibung der Schwachstelle sowie eine
Referenz, die meistens als Link angegeben wird. Dazu kommen weitere Infos, etwa der Tag, an dem die Lücke gemeldet wurde. Darüber hinaus bekommt jede CVE einen Status, der entweder „Candidate“oder „Entry“lautet. Wenn Sie Informationen zu einem bekannten Cve-namen suchen, gehen Sie auf https://cve. mitre.org/cve/search_cve_list. html und geben Sie ihn dort ein. Sie erhalten einen Link zu dem
Eintrag wie auch zu weiteren Cve-namen, die sich auf den gesuchten Namen in Ihrer Beschreibung beziehen.
Sie können unter https://cve. mitre.org/data/downloads/index. html die komplette Liste mit allen CVE-IDS seit 1999 herunterladen. Wählen Sie hierfür zum Beispiel das CSV- oder Txt-format und die gepackte Variante der Liste, damit der Download schneller klappt. -afa